刚接触网络排查时，很多人面对断网、卡顿、数据异常等问题束手无策。其实，只要学会用Wireshark，这些问题大多能“看得见”。它就像网络世界的“监控摄像头”，能把每一笔数据流动记录下来，帮你找到问题根源。
Wireshark是什么？
Wireshark是一款开源的网络协议分析工具，能实时捕获经过网卡的数据包，并以结构化方式展示内容。无论是排查局域网冲突、分析网站加载慢，还是学习TCP三次握手，它都能派上用场。别被界面吓到，用熟了你会发现它比想象中简单。
安装与基础设置
去官网下载对应系统的版本，Windows用户直接运行安装包即可。安装过程中会提示是否安装WinPcap或Npcap，选“是”——这是抓包依赖的底层驱动。Mac和Linux版本也都有对应支持。
打开软件后，主界面列出所有可用网络接口。比如你连的是Wi-Fi，就选“Wi-Fi”那个条目点“Start”。数据包会立刻开始滚动刷屏，每一条代表一个网络通信动作。
看懂抓包界面的关键字段
第一列是编号，第二列是时间，第三列是源IP，第四列是目标IP，第五列是协议类型，第六列是详细信息。刚开始容易眼花，重点盯住几个常见协议：
- TCP：连接型传输，像网页浏览、文件上传
- UDP：快速但不保证送达，比如视频直播、DNS查询
- HTTP/HTTPS：网页请求，HTTPS内容加密看不到，但能看出访问了哪个域名
- DNS：域名解析，查是不是它在拖慢网页打开速度
如何精准抓取想要的数据
默认模式下所有流量都会被捕获，信息太多反而难找。这时候要用显示过滤器。比如只想看访问百度的流量，在顶部输入框写：
http.host contains "baidu.com"回车后界面只显示相关数据包。再比如排查本地设备（192.168.1.100）对外通信：
ip.src == 192.168.1.100 || ip.dst == 192.168.1.100双竖线是“或”的意思，这样源或目标是这台设备的包都会留下。
实战：找出谁在偷偷传数据
假设你发现电脑闲置时网速仍被占用，想查后台程序在干什么。先清空当前列表，然后设置过滤条件：
!(arp or dns) && !(ip.src == 192.168.1.1)排除常见的ARP、DNS噪音，同时去掉路由器本身的通信。接着观察新出现的连接，点开某个TCP包，看“Transmission Control Protocol”部分里的“Source Port”和“Destination Port”，结合目标IP去搜索引擎查归属地，常能发现可疑进程。
保存与分享抓包结果
排查问题常需要给技术人员看证据。点菜单“File”→“Save As”，保存为.pcapng格式。这种文件可以用Wireshark打开，也能被其他工具读取。如果要发给他人，建议附带说明过滤条件和发现问题的时间段。
安全提醒：别乱抓别人的数据
Wireshark只能合法用于自己管理的网络或设备。在公共Wi-Fi下抓包可能触碰法律边界，尤其涉及他人隐私数据时。工具本身无罪，关键看怎么用。
多练几次，你会习惯那些密密麻麻的数据行。下次遇到“网突然变慢”“软件连不上服务器”之类问题，打开Wireshark看看，答案往往就在第几秒的那个异常包里。