Wireshark这个工具聊起来大家都听过但真正能靠它解决实际问题的人说实话不多。我之前排查过一个线上接口超时的故障代码翻了好几遍没看出问题最后是抓包一开几秒钟就锁定了是TCP重传导致的响应延迟——从那以后我算是彻底体会到什么叫眼见为实。网络里的数据本来就是肉眼看不见的Wireshark把每一帧都摊开给你看协议栈哪一层出了问题延迟花在哪个环节一目了然。这篇文章我是按自己的学习路径来写的从抓包原理、基本操作到过滤器语法再到几个真实的排查案例尽量让零基础的朋友也能上手也让已经用过一段时间的读者能补上一些容易被忽略的细节。简单说它能帮你回答三个问题网络里到底在传什么传得顺不顺如果出了问题卡在哪一环1. 先搞清楚原理抓包到底抓的是什么1.1 混杂模式为什么默认情况下你看不见别人的包很多人第一次打开Wireshark发现能抓到一大堆包但大部分都不是发给自己的心里就犯嘀咕这算不算偷看别人的数据其实涉及的原理并不复杂关键在于网卡的混杂模式。正常情况下网卡只会处理目标MAC地址是它自己的数据帧其他的一律丢弃。而Wireshark这类工具会调用系统底层的抓包接口把网卡切换成混杂模式让所有经过网卡的数据帧都被复制一份送上来分析。这就好比你在办公室里本来只关注自己桌上的电话响但切到混杂模式后整个楼层的电话铃声内容都能被你监听——当然在局域网里能不能抓到别人的包还取决于交换机怎么转发数据现在大多数交换机都是交换式转发不是老式的共享式集线器所以也并不是所有流量都能被你看到。理解这一点很重要因为它决定了你的抓包策略。如果你发现自己抓不到某些流量不一定是工具不行很可能是网络拓扑本身就不允许你看到那部分数据。比如说你要分析一台服务器和数据库之间的通信但你的电脑和它们不在同一个二层网络里那再怎么切混杂模式也抓不到——这时候就得考虑在服务器本机上抓包或者用端口镜像之类的方案。1.2 抓包的完整链路从网卡中断到数据包列表一个数据包从到达网卡到显示在Wireshark界面上中间要经过好几层处理。首先是网卡收到物理信号还原成二进制数据帧然后是网卡驱动把数据帧交给内核的协议栈抓包接口在命令行里叫libpcap或者WinPcap、NPcap这类库在这里插入了一个旁路把数据帧复制一份给抓包程序而数据帧本身继续走正常的协议栈处理该干嘛干嘛。这个旁路复制的设计很关键。它的好处是对正常网络通信零干扰——抓包工具只是看数据的副本并不会影响数据本身的流向。但也有一个副作用如果抓包软件的缓冲区处理不过来那就要么丢包要么阻塞。我建议新手一开始就建立这个认知抓包不是把网线掰开接个探针而是在旁边架一个摄像机录下经过的所有内容。理解了这个模型后面遇到丢包、抓不到预期流量、抓到一堆乱码等问题排查思路就清晰多了。1.3 安装与首启配置别急着开抓先做这三件事安装Wireshark的时候Windows用户需要注意安装包会让你选择安装NPcap还是WinPcap。我的建议是直接装NPcap它兼容性好对Windows 10/11的支持也更完善。Linux用户则需要注意抓包需要root权限所以大多数时候用sudo运行Wireshark或者把自己的账号加入wireshark用户组避免每次都提权。第一次打开Wireshark界面可能会让你有点懵——一堆网卡列表数字跳动还不知道点什么。其实可以先把三件事做了关掉名称解析。在捕抓或Analyze分析菜单里把MAC地址解析、网络名称解析、传输层端口解析全部关掉。否则Wireshark会尝试反查域名和主机名不仅慢还会干扰你的分析。设置自动滚屏。抓包量大的时候列表会不断往下滚你可以按需求开关自动滚动或者设置暂停显示别让界面刷得飞起看不清。调整时间显示格式。把默认的从抓包开始到现在的秒数改成当天具体时间在View - Time Display Format里选。排查问题时你要的是这个包是在几点几分几秒出现的而不是第3.408秒的时候。2. 第一次完整抓包从选网卡到看懂三栏信息2.1 选对网卡一半的抓包问题出在这里打开Wireshark主页你会看到一个网卡列表。如果电脑上有多块网卡——有线、无线、虚拟网卡装虚拟机或某些安全软件就会出现选择不对的话抓到的流量就会很奇怪抓了半天没有包、只有零零散散的广播包或者根本就是虚拟网卡上的隔离流量跟你的真实问题毫无关系。我的经验是先看网卡列表里哪个IP地址是你要关注的网络那一块。如果你连着WiFi就选以192.168.x.x开头的那个无线网卡如果你插着网线通常就是以太网那个。不确定的话可以先双击那块网卡看列表里的包是不是包含了你要访问的网站的DNS解析记录和TCP握手包是的话就对了。如果需要同时抓多块网卡可以在设置里勾选多选但这会成倍增加数据量新手建议一次只抓一块专注一个目标。我自己调试的时候最常用的是先用抓包过滤器锁死目标主机减少背景噪音这个后面过滤器章节会细说。2.2 三栏结构列表、详情、字节怎么配合着读进入抓包界面之后最核心的是上下三栏区域数据包列表顶部每一行代表一个包显示序号、时间、源地址、目标地址、协议、长度、关键信息摘要。协议详情中间点选某个包这里会按协议栈逐层展开——物理层、链路层、网络层、传输层、应用层每层都有对应的字段。原始字节底部左侧是十六进制右侧是ASCII字符。看原始字节对分析二进制协议很有用平时排障用得相对少。新手最常见的坑是停留在列表页只盯着看起来有没有奇怪的包而忽略了中间的详情栏。其实问题的关键信息往往藏在协议详情里。比如你怀疑DNS解析慢列表页只能看到这是个DNS响应包但点开详情在DNS层下面能看到Time taken字段直接标出了这次解析耗时多少毫秒。这种细节列表页是不会告诉你的。我习惯的做法是三层联动看先用列表层建立时间线感觉再用详情层确认协议字段的关键值最后有需要才去看字节栏的原始内容。抓包分析不是盯着几十行列表发呆而是要形成列表找线索、详情定结论的节奏。2.3 保存与导出别抓完就关留个证据抓包结果最好保存成pcapng格式这是Wireshark的原生格式保留了完整的元数据比如抓包接口信息、时间精度等。如果你要发给别人分析也能直接打开。如果你只想导出某个会话或者某个IP相关的包选中对应数据包后右键 - Follow追踪流在弹出的窗口里可以只看这个TCP流或UDP流的数据再配合File - Export Specified Packets导出指定包勾上仅导出选中的包就能把一小部分包导出成单独文件。这样既能减轻文件体积也方便聚焦问题。还有一个很多人不知道的保存技巧抓包时可以设置多文件环形缓冲。在Capture Options里配置每写满10MB就自动切换到新文件同时最多保留10个文件超过就覆盖最早的。这样长时间抓包不怕磁盘写爆也不用手动去停。3. 过滤器Wireshark的核心生产力全在这儿3.1 两种过滤器分工完全不同Wireshark有两种过滤器名字看着像用起来完全两回事抓包过滤器Capture Filter在开始抓包之前设置作用是只捕获符合条件的数据包不符合的直接丢掉不进缓冲区。显示过滤器Display Filter抓包过程中或抓包结束后随时设置作用是在已捕获的数据里筛选显示符合条件的包不会影响原始捕获数据。打比方来说抓包过滤器相当于你入园前检查门票没票的直接不让进显示过滤器相当于园内的工作人员只带你去看特定展馆但园子里本来就有哪些人不会改变。这个区别很重要。抓包过滤器能减少磁盘和内存压力适合长时间抓包显示过滤器则更灵活适合排查时有针对性地缩小范围。很多新手一上来就在显示过滤器里写复杂的表达式却发现抓包过程中内存占用暴涨——那是因为抓包过滤器没设好所有流量都倒灌进来了。3.2 高频表达式的写法逻辑与速查表先说抓包过滤器。它的语法比较朴素用host、port、tcp、udp这类关键词组合。常见示例host 192.168.1.100 port 443 tcp port 80 or udp port 53 not host 192.168.1.1再看显示过滤器这是Wireshark的强项语法结构是字段 运算符 值比如ip.addr 192.168.1.100 tcp.port 443 http.request.method GET dns.qry.name contains example.com我把两组高频表达式整理成下表实操时可直接对照使用需求场景抓包过滤器写法显示过滤器写法只看某个主机的流量host 192.168.1.100ip.addr 192.168.1.100只看某个端口的流量port 443tcp.port 443只看HTTP请求tcp port 80http.request只看DNS查询udp port 53dns.flags.response 1排除某台主机not host 10.0.0.5!(ip.addr 10.0.0.5)看某个TCP流的完整会话tcp port 8080tcp.stream eq 12注意显示过滤器里ip.addr 1.2.3.4和ip.src 1.2.3.4有本质区别。前者匹配源地址或目标地址中任意一个等于该IP后者只匹配源地址。用混了结果可能差很远。3.3 一个完整示例一分钟揪出HTTP请求的重点我举个例子。假设你要看某个开发环境的HTTP请求想知道它有没有发出去、响应码是多少、耗时多久。两步走第一步设置显示过滤器http ip.addr 192.168.1.100第二步看列表里HTTP请求和响应交替出现。点开一个HTTP GET请求在详情栏里能看到Request URI、Host、User-Agent等字段点开对应的HTTP响应能看到Status Code和响应头。如果响应码是200往下找TCP层的Time since request或者Round Trip Time能直接看到耗时。如果这个HTTP请求走了HTTPS那抓包默认只看到TCP握手和TLS加密数据看不到明文HTTP内容。这时候有两种选择一是设置SSLKEYLOGFILE日志文件导出TLS会话密钥让Wireshark能解密HTTPS流量二是退而求其次只看TLS握手过程判断连接是否建立成功。解密HTTPS对新手来说有一定门槛但是一旦掌握能看的内容就丰富太多了。4. 实战复盘三个真实的抓包排查案例4.1 案例一某个服务接口偶发超时怎么定位是网络问题我接到过一个反馈内部服务A调用服务B的接口每天总有那么几次超时重启服务后会好一阵子但过段时间又出现。第一反应是服务代码有bug或者线程池阻塞但日志翻了一遍没有明显异常。我的处理思路是直接在服务B所在的机器上抓包过滤条件设为tcp.port 8080也就是只抓B服务的端口流量。抓包后很快看到在超时的时间点上TCP层出现了大量TCP Dup ACK和TCP Retransmission——这意味着网络层面有丢包重传导致请求迟迟没有到达B服务。随后再对比A服务和B服务之间的物理拓扑发现中间隔了一台负载均衡设备查看这台设备的会话超时时间配置发现它的会话老化时间设置太短长连接在空闲一段时间后被误删下次请求到来时被重置。问题根源就这样定了性调整配置后超时消失。这个案例给了一组重要经验偶发超时优先怀疑网络层抓包时不要只看应用层TCP层的重传标记是网络质量最好的晴雨表如果服务之间有中间设备别急着排除它们的嫌疑。4.2 案例二DNS解析慢慢在哪一段要拆开看某个站点用户反馈打开很慢但服务器资源正常页面本身也不重。我怀疑是DNS解析环节拖了后腿。抓包时过滤条件写port 53然后在DNS响应包上点开详情看Time taken字段发现解析耗时高达700毫秒明显不正常。接下来进一步拆解DNS查询首先发送到本地DNS服务器本地DNS再向上游迭代查询。我观察到本地DNS服务器和上游服务器之间的响应正常但客户端到本地DNS服务器的往返时间RTT偏大推测是本地DNS服务器负载高或者链路质量差。把DNS服务器换成另一台后解析时间降到20毫秒左右页面秒开。分析DNS问题时有一个小技巧用Wireshark的Statistics - DNS统计视图可以按查询名称、响应码、耗时等维度汇总快速定位哪些域名最慢比一个个包翻效率高得多。4.3 案例三用Wireshark抓手机App的网络请求现在很多排障场景问题出在手机App连不上服务器。手机流量走的是蜂窝网或者WiFi怎么抓我的方案是用电脑开一个WiFi热点手机连接该热点然后在电脑上启动Wireshark选择热点对应的无线网卡或虚拟网卡就能把手机的网络请求全部抓下来。如果手机走蜂窝网络还有一个方法就是通过数据线连接电脑使用系统自带的USB网络共享功能让手机流量经USB进入电脑网卡这样也能被Wireshark捕获。实际操作中我建议在手机上先关掉其他App的后台刷新尽量让目标App在静默状态下发起网络请求这样抓到的包就是纯的分析起来不费劲。另一个注意点是手机App很多接口都做了HTTPS加密。如果不做TLS密钥导出你看到的是一堆TLS记录根本不知道里面是什么请求。如果想深入分析需要先在目标App里设置系统代理并配合Burp Suite这类工具做中间人解密如果只想确认请求有没有到达服务器、服务器回了什么状态码那只看TCP三次握手和TLS连接建立情况也足够了。4.4 案例四WiFi网络卡顿抓包能看出什么WiFi卡顿的原因太多——信号干扰、信道拥挤、网关性能差。有人说WiFi问题不好抓包因为抓不到无线空口上的具体行为。这话只对了一半。Wireshark的确抓的是网络层以上的数据但通过无线网卡自带的WLAN监控模式Monitor Mode也能捕获到无线帧甚至能看到Beacon帧、重传率、信号强度这些信息。实际操作中我会先看WiFi的底噪水平。如果某个信道上其他AP的Beacon帧特别多说明该信道拥挤换个信道可能就好很多。再看TCP重传率。如果无论访问什么站点都有大量重传大概率是本端WiFi链路质量不佳——比如隔了一堵墙信号弱导致丢包。这时先把电脑挪到靠近路由器的位置如果重传下降说明是信号覆盖问题而不是路由器本身故障。WiFi抓包对新手有个门槛无线网卡驱动不一定支持Monitor Mode尤其是Windows系统。Linux下的兼容性更好一些。想在无线层面做分析的话建议事先查一下自己网卡芯片的驱动支持情况别等到现场才发蒙。5. 进阶技巧与常见问题速查5.1 三个高频功能追踪流、统计视图、着色规则追踪流是我用得最多的功能。在数据包列表里选中任意一个TCP或UDP包右键 - Follow - TCP Stream就能把整个TCP会话的原始数据重组出来像看文本一样浏览HTTP请求和响应的完整内容。排HTTP接口问题的时候这个功能基本是必用的比一个个包去翻快太多。统计视图Statistics则适合从宏观上了解流量模式。比如Protocol Hierarchy可以看各种协议的占比Conversations可以看到哪些IP之间通信最频繁Endpoints能看到流量集中在哪台主机上。做性能分析时先看这些统计再下钻到具体的包效率远高于一头扎进列表里。还有着色规则。Wireshark默认会给TCP重传、乱序、HTTP请求等包上色红黄蓝绿一眼分辨。我自己会自定义一套规则把重传包标成大红把HTTP 5xx响应标成深红把DNS响应慢的包标成黄色。这样抓包界面一打开异常点立刻浮出水面。5.2 常见问题排查速查表现场表现怀疑方向过滤建议排查要点抓不到任何包网卡选错/无权限切换网卡或提权确认目标流量路径是否经过当前主机抓到一半全是广播包网络隔离/混杂模式受限检查交换式网络考虑在服务器本机抓包或配置端口镜像HTTP请求看不到HTTP走的是443端口tcp.port 443需要配置TLS密钥导出或中间人工具TCP大量重传网络丢包tcp.analysis.retransmission检查链路/中间设备/无线信号质量DNS响应慢上游DNS服务器问题dns.flags.response 1观察Time taken字段对比不同DNS服务器占用内存越来越高抓包过滤器没限制提前设置抓包过滤器用多文件环形缓冲限制捕获量5.3 几条经验总结与工作流建议学Wireshark不要贪多先能把抓包-过滤-追踪流-看统计这套流程走通解决实际问题的能力就立起来了。我的个人工作流大致是确认目标网络路径 - 设置抓包过滤器缩小范围 - 抓包2-5分钟收集样本 - 用显示过滤器聚焦异常 - 追踪流看具体内容 - 结合统计视图验证结论。这个流程的好处是每一步都有明确目的不会在界面里漫无目的地翻包。时间有限的时候我甚至只抓10秒就足够定位问题——真正的问题几乎都会在短时间内反复出现长时间抓包反而让注意力分散。最后再分享一个我自己踩过的坑导出数据包给别人时一定记得在导出界面勾选Remove resolved addresses或者导出前清空解析缓存否则对方打开文件会因为DNS解析卡顿而怀疑你给的包有问题。分析完问题之后记得把着色规则、过滤器表达式导出备份换电脑的时候能省不少事。这个细节平时没人提但实际体验差距真的很大。 
长河君 · 2026/10/21 14:31:17 · 阅读 1.2k Wireshark抓包实战：从原理到过滤器，高效排查网络故障
Wireshark这个工具聊起来大家都听过但真正能靠它解决实际问题的人说实话不多。我之前排查过一个线上接口超时的故障代码翻了好几遍没看出问题最后是抓包一开几秒钟就锁定了是TCP重传导致的响应延迟——从那以后我算是彻底体会到什么叫眼见为实。网络里的数据本来就是肉眼看不见的Wireshark把每一帧都摊开给你看协议栈哪一层出了问题延迟花在哪个环节一目了然。这篇文章我是按自己的学习路径来写的从抓包原理、基本操作到过滤器语法再到几个真实的排查案例尽量让零基础的朋友也能上手也让已经用过一段时间的读者能补上一些容易被忽略的细节。简单说它能帮你回答三个问题网络里到底在传什么传得顺不顺如果出了问题卡在哪一环1. 先搞清楚原理抓包到底抓的是什么1.1 混杂模式为什么默认情况下你看不见别人的包很多人第一次打开Wireshark发现能抓到一大堆包但大部分都不是发给自己的心里就犯嘀咕这算不算偷看别人的数据其实涉及的原理并不复杂关键在于网卡的混杂模式。正常情况下网卡只会处理目标MAC地址是它自己的数据帧其他的一律丢弃。而Wireshark这类工具会调用系统底层的抓包接口把网卡切换成混杂模式让所有经过网卡的数据帧都被复制一份送上来分析。这就好比你在办公室里本来只关注自己桌上的电话响但切到混杂模式后整个楼层的电话铃声内容都能被你监听——当然在局域网里能不能抓到别人的包还取决于交换机怎么转发数据现在大多数交换机都是交换式转发不是老式的共享式集线器所以也并不是所有流量都能被你看到。理解这一点很重要因为它决定了你的抓包策略。如果你发现自己抓不到某些流量不一定是工具不行很可能是网络拓扑本身就不允许你看到那部分数据。比如说你要分析一台服务器和数据库之间的通信但你的电脑和它们不在同一个二层网络里那再怎么切混杂模式也抓不到——这时候就得考虑在服务器本机上抓包或者用端口镜像之类的方案。1.2 抓包的完整链路从网卡中断到数据包列表一个数据包从到达网卡到显示在Wireshark界面上中间要经过好几层处理。首先是网卡收到物理信号还原成二进制数据帧然后是网卡驱动把数据帧交给内核的协议栈抓包接口在命令行里叫libpcap或者WinPcap、NPcap这类库在这里插入了一个旁路把数据帧复制一份给抓包程序而数据帧本身继续走正常的协议栈处理该干嘛干嘛。这个旁路复制的设计很关键。它的好处是对正常网络通信零干扰——抓包工具只是看数据的副本并不会影响数据本身的流向。但也有一个副作用如果抓包软件的缓冲区处理不过来那就要么丢包要么阻塞。我建议新手一开始就建立这个认知抓包不是把网线掰开接个探针而是在旁边架一个摄像机录下经过的所有内容。理解了这个模型后面遇到丢包、抓不到预期流量、抓到一堆乱码等问题排查思路就清晰多了。1.3 安装与首启配置别急着开抓先做这三件事安装Wireshark的时候Windows用户需要注意安装包会让你选择安装NPcap还是WinPcap。我的建议是直接装NPcap它兼容性好对Windows 10/11的支持也更完善。Linux用户则需要注意抓包需要root权限所以大多数时候用sudo运行Wireshark或者把自己的账号加入wireshark用户组避免每次都提权。第一次打开Wireshark界面可能会让你有点懵——一堆网卡列表数字跳动还不知道点什么。其实可以先把三件事做了关掉名称解析。在捕抓或Analyze分析菜单里把MAC地址解析、网络名称解析、传输层端口解析全部关掉。否则Wireshark会尝试反查域名和主机名不仅慢还会干扰你的分析。设置自动滚屏。抓包量大的时候列表会不断往下滚你可以按需求开关自动滚动或者设置暂停显示别让界面刷得飞起看不清。调整时间显示格式。把默认的从抓包开始到现在的秒数改成当天具体时间在View - Time Display Format里选。排查问题时你要的是这个包是在几点几分几秒出现的而不是第3.408秒的时候。2. 第一次完整抓包从选网卡到看懂三栏信息2.1 选对网卡一半的抓包问题出在这里打开Wireshark主页你会看到一个网卡列表。如果电脑上有多块网卡——有线、无线、虚拟网卡装虚拟机或某些安全软件就会出现选择不对的话抓到的流量就会很奇怪抓了半天没有包、只有零零散散的广播包或者根本就是虚拟网卡上的隔离流量跟你的真实问题毫无关系。我的经验是先看网卡列表里哪个IP地址是你要关注的网络那一块。如果你连着WiFi就选以192.168.x.x开头的那个无线网卡如果你插着网线通常就是以太网那个。不确定的话可以先双击那块网卡看列表里的包是不是包含了你要访问的网站的DNS解析记录和TCP握手包是的话就对了。如果需要同时抓多块网卡可以在设置里勾选多选但这会成倍增加数据量新手建议一次只抓一块专注一个目标。我自己调试的时候最常用的是先用抓包过滤器锁死目标主机减少背景噪音这个后面过滤器章节会细说。2.2 三栏结构列表、详情、字节怎么配合着读进入抓包界面之后最核心的是上下三栏区域数据包列表顶部每一行代表一个包显示序号、时间、源地址、目标地址、协议、长度、关键信息摘要。协议详情中间点选某个包这里会按协议栈逐层展开——物理层、链路层、网络层、传输层、应用层每层都有对应的字段。原始字节底部左侧是十六进制右侧是ASCII字符。看原始字节对分析二进制协议很有用平时排障用得相对少。新手最常见的坑是停留在列表页只盯着看起来有没有奇怪的包而忽略了中间的详情栏。其实问题的关键信息往往藏在协议详情里。比如你怀疑DNS解析慢列表页只能看到这是个DNS响应包但点开详情在DNS层下面能看到Time taken字段直接标出了这次解析耗时多少毫秒。这种细节列表页是不会告诉你的。我习惯的做法是三层联动看先用列表层建立时间线感觉再用详情层确认协议字段的关键值最后有需要才去看字节栏的原始内容。抓包分析不是盯着几十行列表发呆而是要形成列表找线索、详情定结论的节奏。2.3 保存与导出别抓完就关留个证据抓包结果最好保存成pcapng格式这是Wireshark的原生格式保留了完整的元数据比如抓包接口信息、时间精度等。如果你要发给别人分析也能直接打开。如果你只想导出某个会话或者某个IP相关的包选中对应数据包后右键 - Follow追踪流在弹出的窗口里可以只看这个TCP流或UDP流的数据再配合File - Export Specified Packets导出指定包勾上仅导出选中的包就能把一小部分包导出成单独文件。这样既能减轻文件体积也方便聚焦问题。还有一个很多人不知道的保存技巧抓包时可以设置多文件环形缓冲。在Capture Options里配置每写满10MB就自动切换到新文件同时最多保留10个文件超过就覆盖最早的。这样长时间抓包不怕磁盘写爆也不用手动去停。3. 过滤器Wireshark的核心生产力全在这儿3.1 两种过滤器分工完全不同Wireshark有两种过滤器名字看着像用起来完全两回事抓包过滤器Capture Filter在开始抓包之前设置作用是只捕获符合条件的数据包不符合的直接丢掉不进缓冲区。显示过滤器Display Filter抓包过程中或抓包结束后随时设置作用是在已捕获的数据里筛选显示符合条件的包不会影响原始捕获数据。打比方来说抓包过滤器相当于你入园前检查门票没票的直接不让进显示过滤器相当于园内的工作人员只带你去看特定展馆但园子里本来就有哪些人不会改变。这个区别很重要。抓包过滤器能减少磁盘和内存压力适合长时间抓包显示过滤器则更灵活适合排查时有针对性地缩小范围。很多新手一上来就在显示过滤器里写复杂的表达式却发现抓包过程中内存占用暴涨——那是因为抓包过滤器没设好所有流量都倒灌进来了。3.2 高频表达式的写法逻辑与速查表先说抓包过滤器。它的语法比较朴素用host、port、tcp、udp这类关键词组合。常见示例host 192.168.1.100 port 443 tcp port 80 or udp port 53 not host 192.168.1.1再看显示过滤器这是Wireshark的强项语法结构是字段 运算符 值比如ip.addr 192.168.1.100 tcp.port 443 http.request.method GET dns.qry.name contains example.com我把两组高频表达式整理成下表实操时可直接对照使用需求场景抓包过滤器写法显示过滤器写法只看某个主机的流量host 192.168.1.100ip.addr 192.168.1.100只看某个端口的流量port 443tcp.port 443只看HTTP请求tcp port 80http.request只看DNS查询udp port 53dns.flags.response 1排除某台主机not host 10.0.0.5!(ip.addr 10.0.0.5)看某个TCP流的完整会话tcp port 8080tcp.stream eq 12注意显示过滤器里ip.addr 1.2.3.4和ip.src 1.2.3.4有本质区别。前者匹配源地址或目标地址中任意一个等于该IP后者只匹配源地址。用混了结果可能差很远。3.3 一个完整示例一分钟揪出HTTP请求的重点我举个例子。假设你要看某个开发环境的HTTP请求想知道它有没有发出去、响应码是多少、耗时多久。两步走第一步设置显示过滤器http ip.addr 192.168.1.100第二步看列表里HTTP请求和响应交替出现。点开一个HTTP GET请求在详情栏里能看到Request URI、Host、User-Agent等字段点开对应的HTTP响应能看到Status Code和响应头。如果响应码是200往下找TCP层的Time since request或者Round Trip Time能直接看到耗时。如果这个HTTP请求走了HTTPS那抓包默认只看到TCP握手和TLS加密数据看不到明文HTTP内容。这时候有两种选择一是设置SSLKEYLOGFILE日志文件导出TLS会话密钥让Wireshark能解密HTTPS流量二是退而求其次只看TLS握手过程判断连接是否建立成功。解密HTTPS对新手来说有一定门槛但是一旦掌握能看的内容就丰富太多了。4. 实战复盘三个真实的抓包排查案例4.1 案例一某个服务接口偶发超时怎么定位是网络问题我接到过一个反馈内部服务A调用服务B的接口每天总有那么几次超时重启服务后会好一阵子但过段时间又出现。第一反应是服务代码有bug或者线程池阻塞但日志翻了一遍没有明显异常。我的处理思路是直接在服务B所在的机器上抓包过滤条件设为tcp.port 8080也就是只抓B服务的端口流量。抓包后很快看到在超时的时间点上TCP层出现了大量TCP Dup ACK和TCP Retransmission——这意味着网络层面有丢包重传导致请求迟迟没有到达B服务。随后再对比A服务和B服务之间的物理拓扑发现中间隔了一台负载均衡设备查看这台设备的会话超时时间配置发现它的会话老化时间设置太短长连接在空闲一段时间后被误删下次请求到来时被重置。问题根源就这样定了性调整配置后超时消失。这个案例给了一组重要经验偶发超时优先怀疑网络层抓包时不要只看应用层TCP层的重传标记是网络质量最好的晴雨表如果服务之间有中间设备别急着排除它们的嫌疑。4.2 案例二DNS解析慢慢在哪一段要拆开看某个站点用户反馈打开很慢但服务器资源正常页面本身也不重。我怀疑是DNS解析环节拖了后腿。抓包时过滤条件写port 53然后在DNS响应包上点开详情看Time taken字段发现解析耗时高达700毫秒明显不正常。接下来进一步拆解DNS查询首先发送到本地DNS服务器本地DNS再向上游迭代查询。我观察到本地DNS服务器和上游服务器之间的响应正常但客户端到本地DNS服务器的往返时间RTT偏大推测是本地DNS服务器负载高或者链路质量差。把DNS服务器换成另一台后解析时间降到20毫秒左右页面秒开。分析DNS问题时有一个小技巧用Wireshark的Statistics - DNS统计视图可以按查询名称、响应码、耗时等维度汇总快速定位哪些域名最慢比一个个包翻效率高得多。4.3 案例三用Wireshark抓手机App的网络请求现在很多排障场景问题出在手机App连不上服务器。手机流量走的是蜂窝网或者WiFi怎么抓我的方案是用电脑开一个WiFi热点手机连接该热点然后在电脑上启动Wireshark选择热点对应的无线网卡或虚拟网卡就能把手机的网络请求全部抓下来。如果手机走蜂窝网络还有一个方法就是通过数据线连接电脑使用系统自带的USB网络共享功能让手机流量经USB进入电脑网卡这样也能被Wireshark捕获。实际操作中我建议在手机上先关掉其他App的后台刷新尽量让目标App在静默状态下发起网络请求这样抓到的包就是纯的分析起来不费劲。另一个注意点是手机App很多接口都做了HTTPS加密。如果不做TLS密钥导出你看到的是一堆TLS记录根本不知道里面是什么请求。如果想深入分析需要先在目标App里设置系统代理并配合Burp Suite这类工具做中间人解密如果只想确认请求有没有到达服务器、服务器回了什么状态码那只看TCP三次握手和TLS连接建立情况也足够了。4.4 案例四WiFi网络卡顿抓包能看出什么WiFi卡顿的原因太多——信号干扰、信道拥挤、网关性能差。有人说WiFi问题不好抓包因为抓不到无线空口上的具体行为。这话只对了一半。Wireshark的确抓的是网络层以上的数据但通过无线网卡自带的WLAN监控模式Monitor Mode也能捕获到无线帧甚至能看到Beacon帧、重传率、信号强度这些信息。实际操作中我会先看WiFi的底噪水平。如果某个信道上其他AP的Beacon帧特别多说明该信道拥挤换个信道可能就好很多。再看TCP重传率。如果无论访问什么站点都有大量重传大概率是本端WiFi链路质量不佳——比如隔了一堵墙信号弱导致丢包。这时先把电脑挪到靠近路由器的位置如果重传下降说明是信号覆盖问题而不是路由器本身故障。WiFi抓包对新手有个门槛无线网卡驱动不一定支持Monitor Mode尤其是Windows系统。Linux下的兼容性更好一些。想在无线层面做分析的话建议事先查一下自己网卡芯片的驱动支持情况别等到现场才发蒙。5. 进阶技巧与常见问题速查5.1 三个高频功能追踪流、统计视图、着色规则追踪流是我用得最多的功能。在数据包列表里选中任意一个TCP或UDP包右键 - Follow - TCP Stream就能把整个TCP会话的原始数据重组出来像看文本一样浏览HTTP请求和响应的完整内容。排HTTP接口问题的时候这个功能基本是必用的比一个个包去翻快太多。统计视图Statistics则适合从宏观上了解流量模式。比如Protocol Hierarchy可以看各种协议的占比Conversations可以看到哪些IP之间通信最频繁Endpoints能看到流量集中在哪台主机上。做性能分析时先看这些统计再下钻到具体的包效率远高于一头扎进列表里。还有着色规则。Wireshark默认会给TCP重传、乱序、HTTP请求等包上色红黄蓝绿一眼分辨。我自己会自定义一套规则把重传包标成大红把HTTP 5xx响应标成深红把DNS响应慢的包标成黄色。这样抓包界面一打开异常点立刻浮出水面。5.2 常见问题排查速查表现场表现怀疑方向过滤建议排查要点抓不到任何包网卡选错/无权限切换网卡或提权确认目标流量路径是否经过当前主机抓到一半全是广播包网络隔离/混杂模式受限检查交换式网络考虑在服务器本机抓包或配置端口镜像HTTP请求看不到HTTP走的是443端口tcp.port 443需要配置TLS密钥导出或中间人工具TCP大量重传网络丢包tcp.analysis.retransmission检查链路/中间设备/无线信号质量DNS响应慢上游DNS服务器问题dns.flags.response 1观察Time taken字段对比不同DNS服务器占用内存越来越高抓包过滤器没限制提前设置抓包过滤器用多文件环形缓冲限制捕获量5.3 几条经验总结与工作流建议学Wireshark不要贪多先能把抓包-过滤-追踪流-看统计这套流程走通解决实际问题的能力就立起来了。我的个人工作流大致是确认目标网络路径 - 设置抓包过滤器缩小范围 - 抓包2-5分钟收集样本 - 用显示过滤器聚焦异常 - 追踪流看具体内容 - 结合统计视图验证结论。这个流程的好处是每一步都有明确目的不会在界面里漫无目的地翻包。时间有限的时候我甚至只抓10秒就足够定位问题——真正的问题几乎都会在短时间内反复出现长时间抓包反而让注意力分散。最后再分享一个我自己踩过的坑导出数据包给别人时一定记得在导出界面勾选Remove resolved addresses或者导出前清空解析缓存否则对方打开文件会因为DNS解析卡顿而怀疑你给的包有问题。分析完问题之后记得把着色规则、过滤器表达式导出备份换电脑的时候能省不少事。这个细节平时没人提但实际体验差距真的很大。