Wireshark 安装与部署

二、安装与部署

Wireshark 官方为 Windows 与 macOS 提供安装包，Linux 走发行版仓库。抓包本身需要底层驱动能力，所以权限配置是最常见的坑。

1. Windows：从官网下载安装包，安装时勾选 Npcap（抓包驱动），需要抓无线流量时勾选监控模式支持。安装完成后重新插拔网卡或用管理员权限启动一次。
2. macOS：用官方 dmg 或 Homebrew 安装，首次运行需要授权抓包权限，新系统还要在隐私设置里放行。
3. Linux：用发行版包管理器安装，然后把当前用户加入 wireshark 组，避免每次 sudo。
4. 服务器场景：用 dumpcap 或 tshark 抓成文件，再拷回本地用图形界面分析。
5. 容器场景：容器默认拿不到抓包能力，需要显式加网络管理能力，或直接在宿主机抓。

# Linux 安装与权限配置（Debian / Ubuntu 系）
sudo apt install -y wireshark tshark
sudo usermod -aG wireshark $USER
# 重新登录或重启会话后生效，验证：
groups | grep wireshark

# 设置 dumpcap 的能力位（发行版安装时通常已问过，可手动重设）
sudo dpkg-reconfigure wireshark-common

# 命令行抓包：-i 指定网卡，-w 写文件
sudo tshark -i eth0 -w /tmp/a.pcap

# 只抓目标主机的 443 流量，避免文件过大
sudo tshark -i eth0 -f "host 203.0.113.10 and tcp port 443" -w /tmp/a.pcap

# 环形缓冲：每 100MB 切一个文件，最多保留 10 个，防止磁盘写满
sudo dumpcap -i eth0 -b filesize:102400 -b files:10 -w /var/tmp/ring.pcapng

# 容器内抓包
docker run --rm --net=container:target --cap-add=NET_ADMIN --cap-add=NET_RAW \
  nicolaka/netshoot tcpdump -i eth0 -w /tmp/c.pcap

远程抓包有两条常用路径：一是 SSH 到目标机器用 tshark 抓成文件再下载；二是用 Wireshark 内置的 sshdump / ciscodump 接口，在图形界面里配置远端主机、网卡与过滤条件，本地直接看到实时流量。生产环境优先用第一种，抓完立刻把文件取走并在服务器上删除，减少数据驻留。

常见报错排查：网卡列表为空或不显示接口，Windows 多是 Npcap 未装或服务未启动，Linux 是权限不足；抓不到任何包，先确认选对了网卡、目标流量确实经过该网卡，虚拟机里还要确认是桥接还是 NAT；抓到全是自己的广播噪音，说明交换机上没做端口镜像，物理交换环境下普通网卡看不到他人单播流量。