YPH鹏1. Wireshark入门：从零开始抓包实战
第一次接触Wireshark时，我被它强大的功能震撼到了——这就像给网络装了个X光机，能看清每一个数据包的骨骼和脉络。记得有次公司内网出现诡异延迟，我用Wireshark抓包5分钟就定位到了ARP风暴问题，从此它就成了我排查网络问题的瑞士军刀。
安装Wireshark时有个坑要注意：在Windows平台需要同时安装WinPcap/Npcap驱动。建议选Npcap，它支持回环接口抓包（能抓本机localhost流量）。安装时记得勾选"Install Npcap in WinPcap API-compatible Mode"，这样老程序也能兼容。
抓包操作比想象中简单：
- 启动Wireshark会看到所有网卡列表
- 选择正在使用的网卡（比如WLAN或以太网）
- 点击鲨鱼鳍图标开始捕获
- 操作你要监控的网络行为（比如访问网站）
- 点击红色方块停止捕获
我习惯先禁用"允许捕获时实时更新"选项，否则高流量环境下界面会卡顿。抓取电商网站流量时，建议先清理浏览器缓存，这样能捕获完整的DNS解析、TCP握手等过程。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 过滤器：在数据洪流中精准钓鱼
新手最常犯的错误就是直接分析原始抓包数据——这就像在暴雨中找特定雨滴。有次我抓了10分钟包，结果8成都是Windows后台进程的噪音。学会用过滤器后，效率提升了十倍不止。
Wireshark有两种过滤器：
- 捕获过滤器（BPF语法）：像捕鱼网的网眼大小，决定抓什么
bash复制# 只抓取目标为百度的HTTP流量 host www.baidu.com and tcp port 80 - 显示过滤器：像搜索引擎，在已抓数据中筛选
bash复制# 筛选HTTP GET请求和响应 http.request.method=="GET" or http.response.code==200
实战中最常用的过滤组合：
bash复制# 分析TCP连接问题
tcp.analysis.flags && !tcp.analysis.window_update
# 定位DNS问题
dns && !dns.response_in
# 排查HTTP慢请求
http.time > 0.5
有个高级技巧：右键数据包→"Follow→TCP Stream"，能完整看到某次会话的所有数据。我曾用这个功能发现某个API接口在传输Base64编码的图片，导致响应缓慢。
3. TCP协议：从三次握手看网络健康
TCP就像严谨的商务会谈，每次沟通都要确认对方收到信息。有次我们电商App出现随机性登录失败，通过分析TCP握手过程，发现是负载均衡器异常重置连接。
用Wireshark分析握手过程时：
- 过滤目标IP：
ip.addr==180.101.49.12 - 添加TCP序列号列：右键列标题→"Column Preferences"→添加"SEQ number"
健康的三次握手应该是：
code复制1. [SYN] Seq=0 Len=0
2. [SYN,ACK] Seq=0 Ack=1 Len=0
3. [ACK] Seq=1 Ack=1 Len=0
常见异常模式：
- SYN无响应：可能是防火墙阻断
- SYN+ACK重复：可能是内核参数tcp_syn_retries设置过大
- 短时间大量SYN：可能是SYN Flood攻击
有个细节值得注意：现代Linux默认启用TCP Fast Open（TFO），可能会看到SYN包携带数据。这时Wireshark会显示"TCP Fast Open Cookie"选项。
4. UDP协议：隐藏在简单背后的复杂
UDP就像寄明信片——发出后就不管了。但正是这种简单让它成为DNS、DHCP等协议的首选。有次用户投诉视频会议卡顿，抓包发现UDP包丢失率高达15%，最终定位是交换机QOS配置问题。
分析UDP流量要注意：
- 检查包大小：超过MTU会导致分片
- 关注重传模式：虽然UDP本身不重传，但应用层可能实现
- 注意校验和：Wireshark显示"Bad UDP checksum"可能是网卡校验和卸载导致
DNS作为UDP的典型应用，分析时有几个技巧：
bash复制# 查找DNS响应慢的查询
dns.time > 0.5
# 检测DNS劫持
dns.flags.response == 1 && dns.flags.rcode != 0
我曾遇到个诡异案例：用户访问网站随机变慢。抓包发现部分DNS响应被篡改，TTL只有10秒，导致频繁查询。后来查明是某"智能"路由器在"优化"DNS。
5. ARP协议：局域网通信的隐形桥梁
ARP就像小区快递柜，把IP（房号）转换成MAC（柜子编号）。有次办公室网络瘫痪，抓包发现每秒上千ARP请求，原来是某台机器IP冲突导致。
Wireshark分析ARP关键点：
- 正常ARP请求是广播，响应是单播
- 无故的ARP应答可能是ARP欺骗
- 重复地址检测会发目标IP是自己的ARP请求
实用过滤命令：
bash复制# 找ARP风暴
arp.dst.hw_mac==ff:ff:ff:ff:ff:ff && arp.opcode==1
# 检测ARP欺骗
arp.dst.proto_ipv4==192.168.1.1 && arp.src.hw_mac!=00:11:22:33:44:55
遇到ARP问题时，可以对比arp -a命令输出和Wireshark抓包结果。有次排查发现某设备MAC地址频繁变化，最后发现是虚拟机克隆导致MAC冲突。
6. DHCP协议：IP地址的自动分配艺术
DHCP就像租房中介，自动给设备分配IP配置。我们机房曾出现设备获取到错误网关，抓包发现是测试环境的DHCP服务器意外接入生产网络。
DHCP交互四部曲：
- Discover：客户端广播"我要租房"
- Offer：服务器回复"我这有房"
- Request：客户端确认"就租这套"
- ACK：服务器确认"合同签好了"
关键过滤条件：
bash复制# 查看完整DHCP过程
bootp.option.dhcp==1
# 找非法DHCP服务器
bootp.option.server_id != 192.168.1.1
分析时要注意Option字段，特别是：
- Option 3：默认网关
- Option 6：DNS服务器
- Option 51：IP租期
有次用户反映WiFi时断时续，抓包发现DHCP租期只有5分钟，设备不断续租导致卡顿。调整租期到24小时后问题解决。
7. HTTP协议：应用层性能的放大镜
HTTP就像快递员，在TCP建立的通道上运送数据。分析电商网站性能时，我发现虽然TCP握手很快，但HTTP响应要等2秒，最终发现是数据库查询未优化。
Wireshark分析HTTP的技巧：
bash复制# 找慢请求
http.time > 1
# 检测大文件传输
http.content_length > 1000000
# 分析API耗时
http.request.uri contains "/api/v1"
现代网站多用HTTPS，这时可以：
- 设置SSLKEYLOGFILE环境变量
- 浏览器会记录TLS会话密钥
- Wireshark通过密钥解密HTTPS流量
有个案例印象深刻：用户反映后台系统操作慢。抓包发现每次请求都带2KB的Cookie，导致上行速度变慢。清理无用Cookie后性能提升40%。
8. 综合实战：电商网站访问慢问题排查
去年双十一前，我们的商城出现首页加载时快时慢的问题。通过系统化抓包分析，最终定位到CDN边缘节点异常。具体排查过程：
- 清空本地DNS缓存（ipconfig /flushdns）
- 启动Wireshark捕获无线网卡流量
- 访问商城首页（www.example.com）
- 停止抓包，按时间线分析：
第一阶段：DHCP续租（耗时32ms）
bash复制bootp.option.dhcp==1 && ip.src==192.168.1.1
第二阶段：DNS解析（耗时487ms异常）
bash复制dns && !dns.response_in
发现DNS查询重试了3次，原因是首次查询未响应
第三阶段：TCP连接（耗时21ms）
bash复制tcp.flags.syn==1 && ip.dst==104.16.85.20
握手正常，但后续有3个包重传
第四阶段：HTTP请求（耗时1.2s）
bash复制http.request.full_uri contains "homepage"
服务器处理时间过长（Time-To-First-Byte）
最终发现是DNS服务器负载过高，加上CDN节点TCP窗口调整过于激进。通过增加DNS服务器和优化TCP参数解决了问题。