大多数情况下,当网络崩溃或遇到问题时,您必须通过搜索捕获到的数据包来查找问题。这就是诸如Wireshark之类的工具大显身手的地方了。它是目前使用最广泛的网络协议分析器之一,它分析从网络TAP(也称为数据包捕获设备)或计算机
的NIC发出的文件,并让您深入了解它们的参数、消息、格式等。
然而,在捕获网络线路时会获得的信息量令人生畏。捕获如此多的数据包,意味着您最终将得到巨大的捕获文件。不过幸运的是,Wireshark允许用户快速过滤这些数据,因此您可以筛选您感兴趣的部分,例如某个IP源或目标。您甚至可以比较值、搜索字符串、隐藏不必要的协议等。
![544c0daece0dd04b5c05bed5013972b7.png](https://i-blog.csdnimg.cn/blog_migrate/c09abd46e1bb30211d9b55975b4d3990.jpeg)
下面介绍的过滤器均可用于实时捕获以及导入的文件,从而使您可以在协议的几乎任何字段上进行筛选,包括数据流的十六进制值。当然,您要过滤的内容完全取决于您的具体情况和目的。
我们咨询了我们的工程师,他们最喜欢什么过滤器以及如何使用它们。以下是一些他们常用的过滤器。
ip.addr == x.x.x.x
为任何以x.x.x.x作为源IP地址或目标IP地址的数据包设置过滤器。假设您要分析特定流量,这将非常有用。应用该过滤器可以帮助您分析传出流量,查看有哪些数据与您要查找的IP或源相匹配。
您还可以选择使用ip.dst == x.x.x.x,来仅按目标进行过滤,或者使用ip.src == x.x.x.x,进行按源过滤。
ip.addr == x.x.x.x && ip.addr == x.x.x.x (或者 ip.src == xxxx && ip.dst == xxxx – for a destination)
在两个特定IP地址之间设置对话过滤器。这可以帮助您检查两个特定主机或网络之间的数据。当您要查找特定数据时,这个过滤器可以提供帮助,所以无需再遍历其他不感兴趣的数据。
http or dns
设置过滤器以显示所有http和dns协议。它可以缩小所需的确切协议范围。因此,如果您需要跟踪某些奇怪的FTP流量,则只需将其设置为“ftp”。如果想找出为什么某些网站没有出现的原因?则只需要将其设置为“dns”即可。
tcp.port==xxx
为具有特定源或目标端口的TCP数据包设置过滤器。只查看进出某个特定端口的通信量是非常有用的,也不会耽误太多时间。
tcp.flags.reset==1
设置过滤器来显示所有的TCP重置。所有数据包都有一个TCP,如果将其设置为1,它会告诉接收方计算机应立即停止使用该连接。因此,此过滤器是一个强大的过滤器,因为TCP重置会立即终止TCP连接。
tcp contains xxx
该过滤器显示了包含特定术语(不是xxx,请使用您要查找的术语)的所有TCP数据包。如果您要查找数据包中出现的特定术语,则需要此过滤器。
tcp.stream eq X
跟随tcp流。
tcp.seq == x
按序列号过滤。
tcp.flags.push == 1
对于故障排除很重要,此过滤器可检测推送事件。
http.request
此过滤器过滤所有HTTP GET和POST请求。它可以显示访问量最大的网页。
!(arp or icmp or dns)
它被设计用来过滤掉某些类型的协议,它屏蔽掉了arp、icmp、dns或其他你认为没有用的协议。这将使你能集中注意力关注你感兴趣的流量。
udp contains xx:xx:xx
它为任意偏移(offset)的特定十六进制值设置过滤器。
dns.flags.rcode != 0
指示无法正确解析哪些dns请求。