wireshark分析数据包

抓包这事儿，析数说穿了就是据包偷看别人说话。Wireshark干的析数就是这个——把网线上跑的数据包一个个截下来，拆开给你看。据包别觉得这有多高深，析数我见过一个刚入行的据包运维，靠着Wireshark十分钟就揪出了拖垮整个公司内网的析数罪魁祸首：一台打印机在疯狂广播自己的队列状态。

打开Wireshark，据包第一眼看到的析数是密密麻麻的列表。红色、据包绿色、析数蓝色、据包黑色，析数各种颜色的据包行在刷新。新手容易慌，析数老手会先冷静下来，看一眼协议列。TCP是蓝色的，UDP是绿色的，HTTP是黄色的——这些颜色不是随便涂的，Wireshark用颜色帮你快速区分流量类型。但别被花哨的界面迷惑，真正的功夫在于你会不会用过滤器。

举个实际例子。某个下午，用户报告说访问内部OA系统奇慢无比。打开Wireshark，抓了三十秒的包，输入http.time > 0.5——这是过滤出响应时间超过500毫秒的HTTP请求。结果出来了，所有慢请求都指向同一台服务器IP。再双击一个慢请求，看TCP流，发现客户端发了SYN包，服务器回了SYN-ACK，但客户端迟迟不发送ACK确认。三次握手卡在最后一步，这通常意味着客户端那边有东西在捣乱——防火墙、代理软件，甚至是杀毒软件在扫描流量。

后来查出来，是某台电脑上安装的旧版安全客户端在拦截HTTPS流量，导致每个TCP连接都延迟了大约600毫秒。问题解决后，那台电脑卸载了旧客户端，网络瞬间恢复流畅。

Wireshark的厉害之处在于，它能让你看到网络层以下的细节。比如TCP重传——这玩意儿是网络性能的隐形杀手。你感觉网页加载慢，但ping延迟又正常，这时候就得抓包看有没有大量重传。重传意味着数据包丢了，又得重新发，一来一回，延迟翻倍。用tcp.analysis.retransmission这个过滤器，一抓一个准。我见过一个案例，某办公室的Wi-Fi信号满格，但网速慢得像拨号，抓包一看，重传率高达三成。后来发现是微波炉在午休时间干扰了2.4GHz频段。

别以为Wireshark只适合排查故障。想学网络协议？直接抓包看三次握手，比看任何教科书都直观。打开一个HTTP网页，你能看到DNS查询、TCP连接、TLS握手、HTTP请求响应——整个流程像电影一样在眼前播放。每个包的详细信息都在底部面板展开：源端口、目的端口、序列号、窗口大小、标志位……这些东西平时藏在协议栈里，现在全摊开在面前。

有个细节值得留意：Wireshark默认不解析加密流量。遇到HTTPS，你只能看到TLS握手过程，数据部分全是密文。但这不代表没用——握手过程本身就能暴露很多信息。比如TLS版本，如果服务器还在用TLS 1.0，那基本可以断定它年久失修。再比如证书信息，你甚至能看到服务器下发证书的完整内容，包括有效期和签发机构。

抓包这事，最忌讳的是漫无目的地瞎抓。先想清楚你要查什么，再决定过滤条件。比如排查DNS故障，就输入dns.flags.response == 0只看DNS请求；查ARP欺骗就输入arp.duplicate-address-detected。Wireshark的功能多到让人眼花缭乱，但你只需要掌握最常用的十几个过滤器，就能解决九成问题。

最后提醒一句：抓包别在正式环境上乱来。曾经有同事在生产服务器上抓包，没设捕获过滤条件，结果把全公司的数据库查询流量全抓下来了——那场面，啧啧，网卡差点被撑爆。用捕获过滤器（Capture Filter）或者限制抓包时间，是基本素养。抓下来的包文件也别乱存，里面可能藏着密码、Token、甚至明文邮件内容。Wireshark是个好工具，但它也是一把双刃剑，用得好是救火队员，用不好就是隐私泄露的帮凶。