Wireshark是局域具免免费的，这谁都知道。网抓但真到了要抓包那天，包工很多人卡在第一步——装完打开，局域具免满屏花花绿绿的网抓协议列表，直接懵了。包工今天不聊那些复杂功能，局域具免就说免费工具里，网抓哪个最值得普通技术人花十分钟上手。包工

先泼盆冷水。局域具免网上那些“十大免费抓包工具”榜单，网抓一半是包工凑数的。Fiddler只抓HTTP，局域具免Charles要收费，网抓Tcpdump纯命令行劝退新手。包工真正能应对局域网全流量分析、又不花一分钱的，绕来绕去还是Wireshark。可它有个致命缺点——默认设置下，你根本看不到别人的包。交换机不是Hub，数据不会广播到你的网卡上。所以光装Wireshark不够，还得配合抓包环境。

我见过太多人卡在这。公司网络出故障，网管明明装了Wireshark，却只能抓到自己电脑的流量，查了半天没头绪。后来发现，他压根没开混杂模式。网卡默认只收发给自己的包，开了混杂模式才能接收局域网内所有经过网卡的数据帧。Windows下在Wireshark的“捕获选项”里勾选对应网卡，Linux下用ifconfig eth0 promisc，就这么简单。但问题来了——现在的交换机基本都是交换式而非共享式，就算开了混杂模式，也收不到其他设备的包。

那就得换个思路。免费方案里最实用的是用路由器镜像端口。家用路由器刷个OpenWrt，在交换机配置里把WAN口或LAN口设为镜像源，所有流量复制一份到你的监听口。这操作二十分钟能搞定，成本为零，效果立竿见影。我有次排查智能家居设备半夜乱发包的问题，就是靠这个抓到了某品牌摄像头在偷偷往境外服务器传数据，延迟高达400ms，证据确凿。

要是连路由器都不想动，还有个野路子——用ARP欺骗。工具叫Cain & Abel，老掉牙了，但对付自家测试网络够用。它伪造ARP响应，让目标设备以为你是网关，流量自然经过你的网卡。不过提醒一句，这招在正经办公网里别乱用，轻则网络瘫痪，重则被安全部门请喝茶。抓包工具本身无罪，用在哪才是关键。

说回Wireshark本身。过滤语法是分水岭。新手上来就点“开始”，抓了三分钟几万条包，然后盯着屏幕发呆。正确姿势是先想清楚要查什么。比如怀疑某台设备在刷DNS请求，直接输入dns.qry.name contains "可疑域名"。想找大流量占用者，用tcp.len > 1400过滤大包，再按“统计-端点”看哪个IP流量最高。这些操作不复杂，但能救命。

还有个容易被忽略的免费工具，叫Microsoft Network Monitor，微软自家出的，已经停止维护了。但它的解析器对Windows协议族支持极好，特别是SMB和Kerberos认证流程，比Wireshark还清楚。老技术人电脑里都存着安装包，遇到Windows域环境问题，直接拖出来用。

最后说个反直觉的观察。很多人觉得抓包工具越全越好，其实个人维护的小工具往往更顺手。有个叫RawCap的免费命令行工具，只有几十KB，却能直接抓回环地址的包，Wireshark反而干不了这活。配合Pipedatagenerator生成测试流量，几分钟就能验证网络配置对不对。

工具是死的，人是活的。免费的抓包方案遍地都是，难点从来不在下载哪个软件，而是你愿不愿意花半小时搞懂网络原理。下次遇到网络问题，别急着甩锅给运营商，先开个Wireshark看一眼——说不定真相就在某个不起眼的TCP重传包里。

(责任编辑：探索)