Wireshark网络封包分析工具

如果你正在排查局域网里某个设备频繁掉线的原因，或者想搞清楚某个软件到底在后台偷偷发送什么数据，Wireshark网络封包分析工具就是干这个用的。它不像普通网络测速工具只给你一个速度数字，而是把网线上跑过的每一个数据包都摊开来给你看。打个比方，电工用万用表量电压电流，Wireshark就是网络世界里的那块表，只不过它量的是数据包。

很多人第一次听说这个软件，是因为家里路由器老断流、公司内网访问某个系统卡顿，找运维排查对方甩过来一句“你抓个包我看看”。这时候如果没有Wireshark，基本就卡住了。它能做的事情很具体：捕获经过你网卡的所有数据帧，按协议分层解析，从物理层到应用层逐层展开。不管是TCP三次握手失败、DNS解析超时，还是某个IP疯狂重传，在它的界面上都能找到对应的记录。

这个软件体积不大，安装完占用的硬盘空间也就几百兆。打开之后主界面分成三块：上面是数据包列表，中间是协议详情树，下面是十六进制原始数据。刚上手可能会觉得信息量太大，但实际用起来会发现它的过滤栏才是核心。你不需要看懂每一个包，只要会写过滤表达式，就能从几万个数据包里筛出你关心的那几条。比如只想看某个IP的通信，输入ip.addr==192.168.1.100就能瞬间过滤。

另外说一个实际场景。有用户反馈说公司某台电脑访问OA系统特别慢，但其他电脑正常。用Wireshark在这台电脑上抓包，发现它每次请求之前都要先做一次反向DNS查询，而那个DNS服务器响应要等好几秒。问题定位到这里，解决办法就是把DNS设置改一下。如果没有抓包工具，这种问题靠猜是很难猜准的。

Wireshark怎么抓包？第一次用该点哪里

1.装好之后打开主界面，你会看到一块网卡列表，有线网卡、无线网卡、虚拟网卡都在里面。选你当前上网用的那块，双击它就开始捕获了。

2.如果列表里网卡太多分不清，看哪个有流量波动就选哪个。捕获过程中界面上会实时滚动数据包，这时候你正常操作你要排查的软件或者网页。

3.操作完成后点左上角的红色方形按钮停止捕获。然后在下方的过滤栏里输入条件，比如tcp.port==443只看HTTPS流量。

4.找到可疑的数据包，右键选择Follow→TCP Stream，就能看到完整的会话内容。这一步对排查接口请求特别有用。

需要提醒的是，Wireshark抓包需要管理员权限，普通账户运行会看不到网卡列表。另外在公共WiFi环境下抓包只能看到自己设备的数据，别人的流量是看不到的，这一点和很多人想象的不一样。

Wireshark过滤源IP和目的IP怎么设置才准确

1.过滤单个源IP：ip.src==10.0.0.5，这样只显示从这个IP发出的包。想看目的IP就把src换成dst。

2.同时过滤源和目的：ip.addr==10.0.0.5，这个写法不区分方向，双方通信的包都会显示。

3.排除某个IP：ip.addr!=10.0.0.5，前面加感叹号就是排除。排查时经常用这个把网关和DNS的包过滤掉，减少干扰。

4.组合端口过滤：ip.addr==10.0.0.5&&tcp.port==8080，两个条件同时满足才显示。&&表示与，||表示或。

过滤表达式写错的时候过滤栏会变红，这时候检查一下是不是用了中文符号或者少写了等号。写对了底色是绿色。这个细节虽然小，但新手卡在这里的挺多。

Wireshark使用体验和同类工具对比

从表格能看出来，Wireshark的覆盖面最广，代价就是界面信息量大，第一次打开容易懵。Fiddler对做Web开发的人来说更直接，tcpdump适合在Linux服务器上没图形界面的时候用。三个工具定位不同，不存在谁替代谁的问题。

这几款网络分析工具也值得放一起看看

跑Wireshark需要什么配置的电脑

实际使用中内存的影响比较大。抓包时间长了缓存文件会膨胀，4GB内存的机器如果连续抓几个小时，界面会明显变卡。建议长时间抓包的时候设置一下环形缓冲区，限制单个文件大小和文件数量。

Wireshark常用快捷键速查

这些快捷键在菜单栏里都能找到对应的文字入口，记不住的话用鼠标点也不影响。不过排查问题的时候反复开始停止捕获，用快捷键效率会高不少。

关于Wireshark的常见疑问和实测短板

问：Wireshark抓不到包是怎么回事？

答：最常见的原因是没选对网卡。比如你用的是无线网，但捕获时选了有线网卡，那肯定什么都看不到。另一个原因是权限不够，Windows下需要以管理员身份运行才能列出所有网卡。还有少数情况是网卡驱动不支持混杂模式，这种一般出现在比较老的机器上。

问：这个软件占内存大不大？低配电脑能跑吗？

答：说实话，Wireshark在抓包量大的时候内存占用上升比较明显。实测在一台4GB内存的老笔记本上，连续抓包半小时左右，内存占用会从初始的200MB左右涨到1GB以上，界面操作开始有卡顿感。如果只是短时间抓包排查问题，2GB内存的机器也能凑合用，但不建议长时间开着。低配设备用户建议设置捕获缓冲区大小，避免内存被撑满。

问：Wireshark能抓到别人的上网记录吗？

答：在普通交换式网络中不能。你只能看到自己这台机器发出和接收的数据包，还有广播包。如果要看整个局域网的流量，需要在交换机上配置端口镜像，或者用集线器这种老设备。这一点和很多电影里演的不一样，不是装个软件就能监控整个网络。

问：抓包文件太大打不开怎么办？

答：Wireshark打开大文件确实吃力，几个GB的pcap文件可能会让软件直接无响应。建议在捕获时就设置好分割条件，比如每100MB存一个文件。已经抓到的大文件可以用editcap命令行工具切割，或者用tshark先过滤出需要的部分再保存。

总的来说，这个工具适合愿意花点时间学习过滤语法的人。它的信息呈现方式不是那种傻瓜式的，但一旦熟悉了基本操作，排查网络问题的效率比凭感觉猜要靠谱得多。下载安装包不大，装完也不需要额外配置什么运行环境，直接打开就能用。