Wireshark 高级特性详解

1、端点与网络会话

要想让网络通信正常进行，你必须至少拥有两台设备进行数据流的交互。端点（endpoint）就是指网络上能够发送或者接收数据的一台设备。两个端点之间的通信被称之为会话（conversation）。Wireshark 根据交互的特性来标识端点会话，特别是在多种协议之间所使用的地址。

端点在OSI的不同层级上使用多种不同类型的地址。例如在数据链路层，通信使用物理网卡的MAC地址。每个设备的MAC地址独一无二（虽然也有办法修改，但这可能会削弱它的唯一性）。然而在网络层，端点使用IP地址，IP地址可以在任何时间修改。

下图展示了地址是如何标识端点的两个例子。图中会话A阐释了数据链路（MAC）层的两个端点之间的通信。端点A的MAC地址是00:ff:ac:ce:0b:de，端点B的MAC地址是00:ff:ac:e0:dc:0f。会话B阐释了工作在网络（IP）层的两个设备之间的通信。端点A的IP地址是192.168.1.25。端点B的IP地址是192.168.1.30。

现在让我们来看一看Wireshark如何在端点层面或会话层面上提供网络通信的相关信息。

1. 查看端点统计

当分析流量时，你也许会察觉到可以将问题定位到网络中的一个特定端点上去。举例来说，打开捕获pcapng文件和Wireshark的Endpoints窗口（Statistics->Endpoints）。这个窗口给出了各个端点的许多有用的统计数据，如图所示，包括每个端点的地址、传输发送数据包的数量和字节数。