【工具使用类】交换机+WireShark网络抓包

struggle3436

已于 2025-03-10 14:25:49 修改

阅读量1.5k

点赞数 28

分类专栏：开发调试工具文章标签：测试工具网络 wireshark

于 2025-02-06 11:30:43 首次发布

本文链接：https://blog.csdn.net/qq_41460927/article/details/145469493

版权

开发调试工具专栏收录该内容

2 篇文章

订阅专栏

参考：[Wi-Fi抓包篇]3. WireShark ——抓wlan口包的方法_wireshark怎么对lorawan抓包-CSDN博客

使用场景介绍

无线智能设备透传数据给服务器，接收不到服务端回包数据。通过网络抓包分析，确认分析服务端是否有回数据包到路由器。

1 交换机端口镜像模式

本文使用的是HTK-SG2005L，五口千兆交换机，其功能带有端口镜像模式。

配置交换机为端口镜像模式，其拨码实际配置效果如下：

2 抓包工具环境搭建

2.1 硬件准备

名称	数量	备注
抓包交换机	1台	支持端口镜像模式，例如：HTK-SG005L
笔记本电脑	1台	需要安装网络抓包工具，例如：WireShark
路由器	1台
无线设备	1台
网线	若干

2.2 交换机接线介绍

1、2、3、4口接入设备端网线，例如：此场景需要监视服务端到路由器的回包数据。

5口接抓包设备，即已安装抓包软件的笔记本电脑。

3 无线设备网络配置

3.1 网络拓扑简介

只要确保被监视的对象（路由器）接入互联网即可。

此处介绍一个网口距离比较远的情况，采用有线桥接路由器的方法接入互联网的配置。

星型拓扑：多台副路由器由有线或无线方式桥接到一台主路由器上，副路由器的最大允许数量取决于主路由器提供的LAN口的数量（有线方式），无线带机量（无线方式）。

直线型拓扑：一般不超过三级WDS(Wireless Distribution System)桥接。对于三级以上的WDS桥接，将难以保证网络的稳定性和无线传输速率。

有关“路由器桥接”相关的知识，此文不再展开，感兴趣的小伙伴可以自行上网搜索了解。

3.2 硬件抓包环境接线

接线图：

1）由于提供的网口是固定IP的，主路由器的WAN连接到网口，需要配置使用“静态IP”方式，连接到互联网。

2）交换机的1、2、3、4口任意一个接口接入主路由器的LAN口，5口接入到已安装好WireShark抓包工具软件的笔记本电脑上。

3）副路由器的WAN口接入到交换机的1、2、3、4口任意一个接口，并且需要设置其上网方式为“DHCP方式”

4 WireShark抓包数据分析

上述步骤已经搭建好网络抓包硬件环境，现在可以开始使用WireShark进行抓包啦！！！

4.1 WireShark过滤基本命令

1）根据协议来区分，例如：ip、tcp、udp、http、icmp、ftp

2）根据IP来区分，包括源IP | 目标IP | 等于某个IP

ip.addr ：显示与该ip有关的所有数据包

ip.dst ：只显示该ip作为目标ip时的所有数据包

ip.src ：只显示该ip作为源ip时的所有数据包

例如：

ip.addr == 192.168.1.1 或者 ip.addr eq 192.168.1.1

3）根据端口来区分

tcp.port : 显示与该端口有关的所有tcp数据包

tcp.dstport ：只显示该端口作为目标端口时的所有数据包

tcp.srcport ：只显示该端口作为源端口时的所有数据包

udp同上

例如：

tcp.port == 80 或者 tcp.port eq 80

4）根据包长度过滤

udp.length ：指udp本身固定长度8加上udp数据包长度之和

tcp.len ：指的是ip数据包长度

ip.len ：除了以太网固定长度14，其他都算是ip.len，即从ip本身到最后

frame.len ：整个数据包长度，从eth开始到最后

例如：

udp.length == 26 或者 tcp.len >= 7

5）根据http模式过滤

http.request.method ：显示与该请求方法有关的所有http数据包

http.request.uri ：显示与该请求uri有关的所有http数据包

http contains ""：显示有关该字段的所有http数据包

例如：

http.request.method == "GET"

http.request.uri == "/api/v1/config/update"

http contains "HTTP/1."

6）连接符与表达式

and、 && ：与

or、|| ：或

eq、== ：等于

not、！：非

例如：

(ip.addr == 10.10.31.133 and tcp.port == 50119) || (!http.request.method == "GET" && http contains "HTTP/1.1")

7）根据报文内容过滤

frame contains "keyword"  //keyword为报文内容中的字段，例如MsgType

❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀❀