网络分析系列之十一 Wireshark采集过滤器

Wireshark的世界里有2种过滤器，分别是采集过滤器和显示过滤器，采用恰当的过滤器，不但能提高数据分析的灵活性，而且能让分析者更快看到自己想要的分析对象。
使用Wireshark采集数据包时，可能有诸多原因会使用到采集过滤器，比如减少采集的数据包大小来节省磁盘空间，加速问题和目标分析，提高软件自身工作速率等等。本节介绍如何使用采集过滤器，以及常见的采集过滤器的特征和表达方式，另外罗列出常用的采集过滤器表达式供参考。
为

什么要使用抓包过滤器

当网络中数据流的规模相当庞大时，只抓取满足某些条件的流量就显得十分重要了。如果用户需要在生产环境中进行流量分析，那他一定迟早会需要使用到抓包过器。用户要在开始抓包之前使用抓包过滤器。总之，Wireshark抓取的每个数据包都会提交给抓包引擎，再由抓包引擎将抓取的数据包转换成人类可以读懂的格式。但是，如果用户应用了抓包过滤器，那么Wireshark就会丢弃与用户需求不符的那些数据包。Wireshark不会将这些丢弃的数据包交给抓包引擎进行转换。相比之下,显示过器就要具体和强大得多了。在使用抓包过滤器时，用户一定要谨慎，因为如果有些数据包因为与用户定义的规则不符可能被丢弃，这些丢弃的数据包是无法恢复的。
创建过源器时要使用伯克利数据包过器(BPF)语法，还有很多协议分析软件使用的也是这种语法，因为这种语法是行业标准。这种语法很容易学习和使用，使用基本的格式来构建用户的过滤标准就行了。

如何使用抓包过滤器

最简单直接的使用方式如下图，在Wireshark主体界面，直接输入抓捕过滤器表达即可。