Wireshark网络抓包实战：Ubuntu下TCP/HTTP/DNS排障指南-北京尧图网络

1. 项目概述与准备工作1.1 为什么用 Wireshark 看网络流量网络问题是我日常排障里最头疼的一类。你盯着服务日志看到的是应用层吐出来的状态但真正在网络上发生了什么往往被层层缓冲和重试机制遮住了。举一个我遇到过的场景某个接口偶尔慢 3 秒应用日志没有异常数据库查询也不慢最后抓包才发现原来是前端请求在 TCP 连接建立阶段就发生了 SYN 重传服务端虽然回了包但中间某个转发设备把包丢了一段时间。这类问题如果不看包光靠猜可能要猜几天。Wireshark 的价值就在这儿它把网卡上真正经过的数据帧原封不动地收下来按协议栈逐层解析让你看到最真实的字节级现场。不管是 HTTP 状态码对不对、DNS 解析花了多久、TCP 握手是否反复、有没有重传和乱序都能在抓包文件里找到证据。这次实战用的环境是 Ubuntu 22.04。选这个系统是因为它是当前最普及的服务器和开发机发行版之一绝大多数线上服务器跑的就是它抓包技巧可以直接迁移到工作场景里。这篇文章会从安装环境讲起再到第一个抓包实验然后是过滤器、协议分析、命令行自动化最后是常见问题速查。看完你就能自己完成一次完整的网络排查闭环。1.2 Ubuntu 22.04 安装与授权细节第一步肯定是装包。Ubuntu 22.04 的默认软件源里就带 Wireshark不需要去官网下安装包sudo apt update sudo apt install -y wireshark tshark注意我一次装了两个包wireshark 提供图形界面tshark 是命令行版本。有些教程只装 wireshark等你想要在服务器上跑抓包脚本时才发现没有 tshark又得回头补装。两个包一起装图形界面和命令行都齐了后面的工作都会顺手很多。安装过程中系统会弹出交互窗口问你要不要允许非 root 用户抓包。这里我的建议是按使用环境区分如果是开发机选“是”然后把你的账号加进 wireshark 组日常抓包不用反复 sudo。如果是线上服务器选“否”抓包时显式用 sudo避免普通用户权限过大。如果安装时选错了不用卸了重装跑一条命令重新配置就行sudo dpkg-reconfigure wireshark-common重新配置后再把用户加入抓包组并重新登录一次。很多人在第一步就翻车就是加了组之后没有注销重登导致组权限不生效打开界面后依然报没有抓包权限。判断权限是否生效可以执行id看输出里是否包含 wireshark 组。如果没有要么没加成功要么没重新登录。2. 第一次抓包界面认知与抓包设置2.1 动手前的三个决策打开 Wireshark你会看到一张接口列表里面有 eth0、ens33、wlan0、lo、any 等等。不要凭感觉选接口直接开始抓先回答三个问题。第一抓哪个接口。访问本机的服务一定要抓 lo回环接口上的流量只在 lo 上可见请求外部网络抓出口网卡常见名字是 eth0 或 ens33无线网络抓 wlan0。如果实在不知道是哪个可以看接口列表里的实时流量预览数值在跳的那个大概率就是主网卡。第二要不要开混杂模式。GUI 里每个接口的左侧都有个复选框默认是开启的。混杂模式的意思是网卡把物理链路上收到的所有帧都收进来不限目标 MAC。在交换机镜像口或者虚拟机桥接这种共享链路环境里它可以让你看到其他主机的流量。但在普通交换机下交换机会按 MAC 地址只把帧发给目标端口开了混杂模式也看不到别人家的流量所以这个开关不是用来偷看的而是用于合法排查场景比如你在交换机上做了端口镜像需要把镜像流量全部收下来分析。第三要不要先写捕获过滤器。如果流量特别大而且你明确只要某个端口的包可以在抓包前写一个捕获过滤器比如port 80。它的好处是从源头丢掉无用包不占用磁盘和 CPU坏处是一旦丢弃就再也找不回来了。所以我一般只在长期抓包、存储有限时才用捕获过滤器短时间排障一律抓全量后面用显示过滤器慢慢筛。2.2 一次完整的 Nginx 访问抓包接下来走一遍标准流程目标抓取一次本机 Nginx 的访问流量。第一步选择接口。假设 Nginx 监听在 80 端口客户端是另一台机器请求会从 eth0 进来所以双击 eth0。第二步配置轮转文件。点击抓包选项图标在“多个文件”区域勾选启用把单个文件大小设为 10MB数量设为 10。这样抓包文件最多占用 100MB 磁盘流量爆发时不会写爆。生产机器上因为抓包把磁盘写满的我不是没见过轮转保存是低成本高收益的习惯。第三步开始抓包。在客户端上执行 curl或者在浏览器访问 Nginx 页面curl -v http://172.16.10.20/index.html第四步停止抓包。回到 Wireshark 点红色方块按钮把文件保存成 /tmp/nginx-test.pcapng。第五步看协议分级统计。菜单“统计 - 协议分级统计”会按协议树显示出包数和占比。HTTP 访问一次理想情况应该看到 TCP 和 HTTP 的占比合理DNS 不应该出现太多。如果出现大量 DNS说明客户端在反复解析域名这本身就是排查线索。第六步分析关键包。在显示过滤器输入http.request就能只看 HTTP 请求包右键任意请求选择“追踪流 - TCP 流”可以看到完整的请求和响应内容。第一次跑通这个过程你基本就掌握了 Wireshark 的主要使用链路抓包、保存、统计、过滤、追踪。2.3 设置时间列与显示习惯抓包排延迟问题时默认的时间列不一定够用。Wireshark 的时间列默认是抓包开始后的相对时间单位是秒。如果你想知道每个包和上一个包相隔多久可以在列头部右键把“时间对之前显示分组包头的增量”加进来。增量时间列对定位哪一段链路耗时大特别有效客户端发出 SYN 到收到 SYNACK增量就能读出握手 RTT发出 DNS 查询到收到响应增量就是 DNS 总耗时。还要建议关闭自动滚屏。抓包时界面默认会跟着最新包滚动流量一大GUI 渲染反而消耗 CPU甚至影响抓包效率。在抓包界面右下角有个自动滚屏按钮点一下关掉它。抓包过程中不要盯着屏幕看等停止之后再在静态文件里分析这是更专业的做法。3. 过滤器使用从全量流量到目标流量3.1 两套过滤器别搞混说起过滤器绕不开一个常见的混淆点Wireshark 里有两套过滤器一个叫捕获过滤器一个叫显示过滤器。两套语法功能完全不同但初学阶段很容易记混。对比项捕获过滤器显示过滤器语法示例port 80tcp.port 80生效时机抓包开始前抓包进行中或结束后是否删数据是不匹配的直接丢弃否只是隐藏显示性能开销低内核层过滤较高CPU 参与适用场景大流量、长期抓包分析阶段反复切片有一个记忆技巧捕获过滤器在抓之前生效它的关键词写法很简略比如port 80、host 1.2.3.4显示过滤器在抓之后使用字段要用等号和点号来表示比如tcp.port 443。凡是在分析阶段能做的事尽量别放到捕获阶段去做因为捕获就丢掉了数据显示只是把数据藏起来。这两种策略各有使用场景我把我的默认建议写在这里一次性的短线排障抓全量无损取证长期的守护抓包加捕获过滤器避免吃满磁盘和 CPU。3.2 最常用的显示过滤器我把实际工作中使用频率最高的显示过滤器整理成了一张表只要复制进过滤栏回车就能用。需求过滤器写法说明只看某个 IP 参与的所有包ip.addr 10.0.0.5源或目的地址匹配都可以只看某一端口的 TCP/UDP 包tcp.port 443同理可用udp.port 53只看 HTTP 请求包http.request只要客户端发起的请求只看 HTTP 响应包http.response只要服务端回的内容只看 DNS 流量dns查询和响应都会显示只看 TCP SYN 包tcp.flags.syn 1 and tcp.flags.ack 0握手第一个包只看有负载的 ACK 包tcp.flags.ack 1 and tcp.len 0确认携带数据的包筛出可疑 TCP 行为tcp.analysis.flags重传、乱序、零窗口等只看目标端口是 8080tcp.dstport 8080排除源端口干扰只看 ARParp二层地址解析相关关于tcp.analysis.flags多说几句。它不是一个真实存在网络包里的字段而是 Wireshark 根据协议状态推导出来的标记。比如重传、快速重传、乱序、DUP ACK、零窗口、丢包后的补救行为都会在这个字段显式标出来。用它和具体条件做组合比如tcp.port 8080 and tcp.analysis.flags一条过滤器就能把异常连接全筛出来。这个套路在排线上偶发延迟时非常高效几乎没有失效过。3.3 字段补全与表达式生成器很多新手不敢写复杂过滤器的原因是怕记不住字段名。Wireshark 有两个帮手一个是表达式生成器在过滤栏旁边有个菱形图标点开后可以搜字段名比如输入 dns就能看到 dns.time、dns.flags.response 等一大堆字段双击就会生成完整的过滤条件另一个是自动补全你在过滤栏输入ip.、tcp.、http.下拉会自动列出该协议下面的所有字段。有个小技巧任何一个包都可以作为字段模板。点开某个包在中间协议树里找到感兴趣的字段右键选择“作为过滤器应用”或“准备过滤器”Wireshark 会自动生成等价过滤语句。比如你在 DNS 响应包里看到 dns.time 字段值很大右键选中它并选择“作为过滤器应用 - 选中”过滤栏里就会出现dns.time 0.1这样的条件。学会这种从包到过滤器的用法根本不用死记语法实践中越用越熟。4. 协议疑难排查TCP、HTTP、DNS 实例4.1 TCP 三次握手与延迟定位几乎所有 TCP 应用的连接耗时都可以归结到三次握手。过滤tcp.flags.syn 1会把 SYN 包列出来。正常情况下握手是客户端 SYN - 服务端 SYNACK - 客户端 ACK在显示里你可以通过时间增量列查看定位延迟的具体操作双击一个 SYN 包看它和紧接着的 SYNACK 包之间的时间差。这个差值就是连接建立时服务端响应的速度。如果差值一直很大比如几百毫秒说明服务端的内核协议栈或中间设备处理不过来。我处理过一个典型的偶发连接超时案例某服务平时都正常但高峰期偶尔会有新建连接变慢。应用日志没有报错的线索因为从应用层看只是 TCP 连接建立等待时间变长。抓包后发现同一个客户端对同一端口在 1 秒内连续发出了三个 SYN间隔分别是 1 秒、2 秒、4 秒而服务端迟迟不回 SYNACK。这个现象说明 SYN 请求到了服务端但没被及时处理或者丢包。继续对比服务端负载和内核机制后最后定位到半连接队列被占满于是调整了系统参数问题才真正解决。抓包里关于 TCP 的另一个高频关注点是重传和乱序。重传包会让上层等待进而表现为接口变慢乱序则可能让接收端的缓冲区颠簸触发快速重传。过滤tcp.analysis.retransmission能直接看到重传包过滤tcp.analysis.out-of-order能看到乱序包。如果你的抓包里重传比例超过 1%网络状况就该警惕了。4.2 追踪流还原完整 HTTP 对话HTTP 明文协议对抓包非常友好每一个包都是可见的文本。但只看单独的包效率很低因为一个请求往往被拆成多个 TCP 段。Wireshark 把这个问题用追踪流解决了右键任意 HTTP 包选择“追踪流 - TCP 流”Wireshark 会把这条 TCP 连接上的双向数据按顺序拼接起来显示成完整可读文本。窗口底部可以选择原始 ASCII、十六进制、以及导出原始字节。这个功能在排查接口返回内容和预期不一致时几乎是决定性工具。有一次前端说解析后端返回的 JSON 失败了。后端看代码完全没看出来什么问题测试环境反复尝试也复现不了。我让同事在线上一台机器上抓包然后我用追踪流看那份响应体发现实际返回的字节流里在 JSON 中间插了一段错误拼接的字符串导致解析中断。问题最终指向底层网关的响应封装逻辑。这个结论从来不是靠读代码看出来的只有把线上实际的字节流拉出来才能确定。追踪流窗口还支持搜索可以在整个会话里搜特定字符串。这在分析长连接或者大响应时特别有用能够帮你快速定位某一个关键参数的上下文。需要注意的是TCP 流会把整条连接从第一个包到最后一个包都拼出来如果连接持续时间很长且包含大量数据打开时会消耗不少内存对超大流先用过滤器把时间范围缩小会稳妥很多。4.3 DNS 时延与失败分析DNS 往往是拖慢页面的隐形杀手。一个页面里可能有十几个外域资源每个都要先做 DNS 解析。浏览器开发者工具的网络面板里你只能看到每个资源的总耗时但 DNS 解析到底花了多久面板里不容易看清。抓包则可以精确拆解。抓包后过滤dns然后加入 dns.time 列。Wireshark 会把查询包和对应的响应包自动关联在响应包里显示这一次解析用了多少毫秒。正常本地缓存的解析一般在 1 毫秒以内正常的局域网解析也就几毫秒。如果看到几百毫秒说明 DNS 服务器路径上存在明显延迟比如请求被转发到了很远的上游或者本地网络质量差。还有一个常见问题是反复解析。如果同一个域名隔几秒就出现一次查询而且没有命中缓存说明客户端没有正确缓存或解析逻辑每次都被调用。这种看起来没毛病但时时在等的时间损耗非看包很难意识到。DNS 错误也值得关注。过滤dns.flags.rcode ! 0会列出解析失败的包。rcode 为 0 表示无错误常见的非 0 值有 2服务器失败、3域名不存在。再用协议分级统计看看 DNS 失败率如果失败比例明显高于正常水平就值得深入查上游解析配置了。4.4 HTTPS 的解密条件与边界现在最常用的应用流量几乎都是 HTTPS默认抓包只能看到 TLS 握手和密文。如果你想分析的是自己负责的服务、自己控制的客户端有一个正规途径可以解密在客户端设置 SSLKEYLOGFILE 环境变量让浏览器或 curl 把 TLS 会话密钥写入文件再把密钥文件加载到 Wireshark 的 TLS 配置里。Chrome、curl 以及大多数主流 HTTP 库都支持这个环境变量。操作步骤如下在终端里设置环境变量并启动客户端比如export SSLKEYLOGFILE/tmp/keys.log curl -k https://127.0.0.1/api/v1/demo打开 Wireshark菜单“首选项 - 协议 - TLS”在“Pre-Master-Secret log filename”里填上同一个文件路径。抓包并重新发起请求此时显示过滤器里输入http就能看到解密后的 HTTP 头追踪流也能看到明文内容。这个方法有个前提你必须有客户端进程环境的控制权且只能在它记录的会话里解密。它不是用来对任意第三方流量做监听的也谈不上什么技术魔法。按合规和边界的原则你只应该用它分析自己业务系统的流量别动别人的数据。有几个坑要提醒。第一密钥文件要重新生成或覆盖后才去加载否则 Wireshark 里看不到新的会话密钥。第二客户端必须先设置环境变量再发起请求如果会话在设置之前已经建立抓到的密文依然解不开。第三Linux 环境变量不会自动传递给已运行的 GUI 程序如果用图形界面启动的浏览器需要改启动脚本或者用终端启动。TLS 解密还受密钥交换方式影响。如果服务端强制用 ECDHE 之类的前向保密算法那么会话密钥不会长期固定而是每次握手都会重新协商但只要客户端把每段会话的密钥都写进日志文件Wireshark 就能逐个解开。如果你的服务端用了静态 RSA 密钥且不支持前向保密情况反而不同但这类旧配置在最近几年的环境里已经很少见了遇到再说。5. 命令行抓包与统计分析5.1 为什么需要 tshark图形界面在交互分析时体验最好但有两个场景它完全无能为力一是远程服务器没有图形界面你要抓包二是要对几百个 pcap 文件做批量统计不可能一个个打开点击。这时候就用 tshark。tshark 是 Wireshark 的命令行版本解析引擎同一套显示过滤器语法完全一致。这意味着你在图形界面里会的技能在命令行里基本可以平移。使用 tshark 的另一个好处是资源占用低它不像 GUI 那样需要渲染界面可以在低负载环境下长时间抓包。还有一个常被忽略的理由自动化。网络排障经常需要定时抓包比如每天高峰时段自动抓 5 分钟或者在某进程启动前抓一段基线数据。这些场景用 tshark 写进脚本配合定时任务可以做到无人值守采集遇到问题再调阅存档。5.2 常用抓包与读包命令先看抓包的基础命令sudo tshark -i eth0 -f tcp port 80 -w /tmp/http.pcapng -a filesize:102400 -b files:10参数拆开解释-i eth0指定网卡-f tcp port 80捕获过滤器只抓 TCP 80 端口-w /tmp/http.pcapng输出到文件-a filesize:102400文件达到 100MB 即轮转-b files:10最多保留 10 个轮转文件这样组合的采集设计最多占用 1GB 磁盘适合长时间抓重点端口流量。读包最常见的需求是把抓包文件里所有 HTTP 请求信息提取成文本tshark -r /tmp/http.pcapng -Y http.request -T fields -e ip.src -e http.request.method -e http.host -e http.request.uri每一行输出一个请求依次是来源 IP、方法、域名、URI。整理成这个格式后可以直接丢给 grep、awk、sed 做后续处理也可以导入表格统计。平时我排查线上问题时经常先用这条命令快速把谁向谁请求了什么拉出来再决定要不要下载完整的 pcapng 文件做深入分析。5.3 统计模块io,stat 与端点统计tshark 自带的统计模块也非常实用。-z参数后面可以接统计类型常用的有io,stat流量统计和endpoints端点统计。统计按时间桶分布的流量tshark -r trace.pcapng -q -z io,stat,1,tcp.port443这条命令按 1 秒一个桶打印每秒的流量总量和过滤匹配数输出形如IntervalFramesBytes过滤匹配0-1s200400001501-2s35072000310时间桶里的峰值能直观看出流量是否突发。配合io,stat里叠加多个过滤条件和采样间隔还能统计每 5 秒、每 10 秒的平均吞吐排序后找到高峰期起点。查看通信端点排行tshark -r trace.pcapng -q -z ip,hosts它会列出所有通信端点的收发字节数帮助你快速找到谁是流量大户。若怀疑是某个内网 IP 在持续打满带宽跑这一条命令就能定位。统计模块的特点是输出即文本可以直接作为监控告警的输入。很多运维脚本里我见过同行把 tshark 统计结果喂给监控系统判断高峰期的 TCP 重传率是否超标。这也是把抓包能力变成常态化监控的一条可行路径。6. 常见问题与避坑实录6.1 权限与接口问题问题一打开抓包接口列表是空的或者点击开始后提示权限错误。可能性如下用户不在 wireshark 组解决sudo usermod -aG wireshark $USER然后重新登录。正在用普通用户但没有 root解决用 sudo 跑 tshark或者加入 wireshark 组。容器环境没有抓包所需的内核权限解决在宿主机抓包或者为容器配置相应权限并挂载设备。判断当前用户权限是否到位用id命令看组列表。如果组里已经有 wireshark 还是报权限错误可能是 dumpcap 的可执行权限不对。Ubuntu 包管理一般会处理但如果你手动改过权限或者从源码安装过可以检查 /usr/bin/dumpcap 的所属权和执行位是否正常。接口列表里出现无线网卡但抓不到其他设备的流量这个和无线模式、驱动行为都有关系不一定是配置错误。普通无线抓包只能看到自己发送和接收的数据要抓其他客户端的数据得网卡支持监控模式且驱动开放相关接口。这里多数场景用不上先不必深究。6.2 抓包丢包与文件轮转问题二抓包过程中右下角提示 N 个包被丢弃。这表示抓包缓冲区满了来不及处理的数据被网卡驱动丢弃。调整思路有三个。首先增加缓冲区大小。在“捕获 - 选项”里把缓冲区内存调到 128MB 或者更大。内核会为抓包进程分配一块环形缓冲容量大一些就能吸收突发流量。其次在源头减少输入。加捕获过滤器比如只抓tcp port 443把无关流量挡在缓冲区外。这比任何后续处理都有效。最后避免 GUI 占用资源。GUI 的实时渲染非常消耗 CPU。生产场景建议关闭图形界面用 tshark 抓包到文件抓完再拿回分析。前面提到的轮转文件本质不是解决丢包而是解决磁盘被写满的隐患。但如果发现轮转文件非常多且磁盘空间有限也可以限制总轮转数量或者定期清理旧文件。保存 pcapng 时勾上压缩选项也能明显减小体积解析时同样能读取。6.3 名称解析导致的干扰问题三抓包结果里所有 IP 都显示成一堆主机名和厂商缩写反而看不懂了。Wireshark 默认会尝试做几类名称解析MAC 厂商解析把 MAC 前缀显示成某个厂商、网络名称解析按 hosts 或 DNS 反查 IP 主机名、传输层名称解析按服务端口显示协议名。对于日常排障我建议关掉前两类只在确实需要时手动开启。做法菜单“视图 - 名称解析”把对应的选项都取消勾选。否则在离线环境里 Wireshark 尝试反查 DNS 会一直等超时看着就像界面卡住了。处理大型抓包时名称解析会额外增加不少内存和耗时关闭后打开文件的速度会有可感知的提升。如果你确实想保留解析结果但又不想卡顿也可以抓包后先用工具生成一份静态的 IP 主机名映射再考虑是否合并。6.4 大文件与分析卡顿问题四抓了一个文件有几个 GB打开后操作很卡。对于大文件GUI 打开后会把整个文件加载到内存做索引如果文件过大内存不足就会走交换空间进而卡顿。应对办法有几个用 tshark 先按条件切分tshark -r big.pcapng -Y ip.addr10.0.0.5 -w small.pcapng先把目标 IP 的包筛出来再打开小文件分析。所以生产环境在抓包时设置多文件轮转让每个文件都小一点宁可多几个文件也不要在后期做一次大文件处理。还可以在 GUI 里用标记包功能把可疑的包标注出来再导出标记的包进一步缩小分析范围。还有一个常年踩坑点不要开着自动滚屏去抓大流量。这个在前文提过但值得重复因为它是新手最容易忽视的 GUI 优化点。7. 一些使用习惯上的建议文章写到这里核心使用方法都过了一遍。最后分享几点我在实际抓包中沉淀下来的习惯。第一抓包之前先明确要验证什么。是排查连接超时还是看响应内容还是看 DNS 延迟目的不同接口选择和过滤器写法完全不同。盲目抓包只会得到一大坨数据反而让人无从下手。第二每段抓包都先看协议分级统计再看 TCP 异常标记最后才深入具体包。这个顺序能让自己快速建立全局感。第三抓到的 pcapng 文件按“日期-事件-接口”命名关键会话加备注方便事后复盘。一个文件命名混乱过两天自己都想不起来当时为什么要抓。抓包不是一个需要靠天赋的技能它更接近手艺。只要你肯把所有网络疑难杂症都拉到字节层面看一遍大多数问题都会从模糊的猜测变成确定的证据链。希望这篇文章能成为你第一次独立抓包的起点也欢迎你在实操中遇到有意思的包回来一起聊聊。

Wireshark网络抓包实战：Ubuntu下TCP/HTTP/DNS排障指南

相关推荐

递归对抗引擎2.0：从对抗博弈到递归优化的生成模型

Unity LeanTween 补间动画实战：核心 API 与性能优化指南

lingbot-map 映射工具实战：从原理到工程化落地

更多资讯

REA缩写解析：技术项目命名中的语义锚定与上下文必要性

安卓开发工程师JD深度拆解：从Kotlin协程到性能优化

轻量级运行时rea：核心原理、跨端同步与工程实践

lingbot-map：面向语言智能体的语义空间知识图谱设计与实现

可测试的安全防护体系：从静态扫描到动态验证

AI驱动市场分析系统架构设计：机器学习、特征工程与数据漂移实战

今日更新

微信云开发旅游小程序实战：LBS打卡+UGC社交全栈方案

金融AI代理平台核心拆解：从多代理协作到财报分析实战

基于大数据的智慧旅游推荐与可视化平台架构实践

本周精选

金融AI落地指南：从调研报告到技术选型与工程实践

大模型上下文成本与注意力优化技术深度解析——为何O(n²)平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测

基于GMM的语音识别系统原理与MATLAB实现详解

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？