先说个场景。你接手一个线上问题客户反馈页面打不开、接口超时你打开Wireshark抓了一把包结果满屏都是密密麻麻的帧几百个连接混在一起根本不知道从哪看起。这时候你心里想的不是“Wireshark真强大”而是“这工具到底怎么让我快速找到想要的那条流”。答案就是过滤器。过滤器这玩意说白了就是把一堆杂乱的网络流量按照你的意图筛出来让你只看到该看的。我用了Wireshark快十年从最早抓包全靠肉眼翻到现在闭着眼能写出组合过滤条件最大的体会就是过滤器的熟练程度直接决定你排查网络问题的效率。这篇就把我日常用得最多的9类Wireshark过滤器全部拆开讲一遍从零基础到进阶全都有。不管你是刚接触抓包的新手还是已经被各种协议字段搞到头大的老油条只要照着这篇的思路走一遍至少能解决日常90%的过滤需求。适合谁看运维、开发、网络工程师、测试以及所有需要跟数据包打交道的人。1. Wireshark有两套过滤器先别搞混很多人一开始就栽在“过滤器”这三个字上因为Wireshark里其实有捕获过滤器和显示过滤器两种完全是两套东西语法不同、作用时机也不同。如果不先分清这两者后面的九类技巧你学起来大概率会乱。1.1 捕获过滤器抓包前就已经在过滤捕获过滤器是在抓包开始之前就设置的它只保留符合条件的数据包不符合的包根本不会被网卡捕获进来。它的语法是BPFBerkeley Packet Filter语法跟tcpdump的写法基本一样写的是“允许什么流量进入抓包结果”。比如你只想抓和192.168.1.1这台主机相关的流量就用host 192.168.1.1或者只想抓80端口的TCP流量tcp port 80这个入口在Wireshark主界面的Capture Options里也可以点抓包旁边的齿轮图标进去设置。有个很容易被忽略的细节捕获过滤器的语法错误不会弹窗提示它会在你点击开始抓包后直接报“Invalid capture filter”有些版本甚至静默失败。所以我一直的建议是能用显示过滤就别用捕获过滤除非你确实要抓超大流量、怕文件膨胀才考虑它。1.2 显示过滤器抓包完成后再过滤显示过滤器是抓包完成后、在包列表上方的过滤栏里输入的条件它不会改变已抓到的数据包只是在界面层面把不符合条件的包“藏”起来。这个语法才是Wireshark真正好用的地方非常丰富支持字段、协议、比较运算、逻辑组合甚至正则。比如你要看所有HTTP请求http看IP是192.168.1.1的包ip.addr 192.168.1.1看端口是443的TCP包tcp.port 443显示过滤器是这篇文章绝对的主角后面要讲的九类过滤器讲的都是显示过滤器。1.3 为什么我几乎只用显示过滤器这里说点我自己的习惯。我日常排障绝大多数场景都是“先全量抓再慢慢筛”因为网络问题有个特点——你永远不知道问题藏在哪一层。比如一个web访问很慢可能是TCP重传多可能是DNS解析慢也可能是HTTP响应体过大如果你抓包前就用捕获过滤器只留80端口那DNS问题就被你亲手过滤掉了。先全抓、再显示过滤等于保留了完整的现场随时可以换一个角度重新排查。只有一种情况我会用捕获过滤器流量实在太大比如每秒几万包全抓下来磁盘扛不住这时候才在源头就先切一刀。2. 第1类IP地址过滤器定位主机最快的方式IP地址过滤是使用频率最高的一类你想看某个服务器、某个客户端的所有流量它就是第一道筛选。2.1 最常用的三个关键字ip.addr不管源地址还是目的地址只要等于你填的IP就显示ip.src只看源地址ip.dst只看目的地址ip.addr 192.168.1.10 ip.src 192.168.1.10 ip.dst 192.168.1.10ip.addr最常用因为很多时候你只关心“跟这台机器有关的流量”至于是它发的还是发给它的后面再细看。如果你要区分上下行方向再用ip.src和ip.dst。2.2 网段过滤一个IP太窄了有时候你想看整个子网的流量比如排查办公室一个网段里的广播风暴或者看某个VLAN里所有主机的流量ip.addr 192.168.1.0/24这里有个坑有些朋友会写成ip.addr 192.168.1.0 ip.addr 255.255.255.0这是错的完全不对。Wireshark里直接支持CIDR写法ip.addr 192.168.1.0/24就表示整个192.168.1.x网段。如果是IPv6环境写法一样比如ipv6.addr fe80::/16。2.3 IP加端口组合排查问题时IP和端口几乎总是绑在一起出现的。比如你怀疑某个客户端访问某台服务器的HTTPS服务异常最简单直接的写法ip.addr 192.168.1.100 tcp.port 443如果这两个IP之间有很多业务流量你还想精确到某一个Web服务的连接就再加上HTTP层过滤ip.addr 192.168.1.100 http这一条基本能帮你从海量数据包里锁到一个目标服务。2.4 容易忽略的广播和组播地址接口上总有一些广播流量比如ARP请求、NetBIOS、mDNS之类如果你在抓包结果里经常看到一堆224.0.0.x或者255.255.255.255不用慌这不是什么异常攻击很多是正常的发现协议。过滤的时候想排除它们可以在过滤条件里加个排除ip.addr ! 224.0.0.0/4 ip.addr ! 255.255.255.255不过这里要特别提醒ip.addr ! xxx这个写法在Wireshark里有隐藏的坑它实际上是“存在一个不等于xxx的IP地址字段”就显示而一个数据包通常有src和dst两个地址字段所以结果往往和你预期不一样。更稳妥的做法是!(ip.addr 224.0.0.0/4) !(ip.addr 255.255.255.255)新手很容易在这里栽跟头判断“不等于”的时候要注意括号和取反的用法后面讲逻辑运算符的时候再详细说。3. 第2类端口过滤器锁住每一个服务IP过滤解决的是“谁和谁”的问题端口过滤解决的是“哪个服务”的问题。一个IP上可能跑了Web、数据库、SSH各种服务你要想看HTTP就把80、8080、443这些端口捞出来。3.1 基础三件套tcp.port 80只要TCP层端口是80就显示不管源还是目的tcp.srcport 80只看源端口tcp.dstport 80只看目的端口同样UDP就是udp.port、udp.srcport、udp.dstport。很多情况下服务器端的端口是固定的但客户端的端口是随机的所以如果你想看“所有发往某台服务器80端口的请求”用tcp.dstport 80更精确如果你想看“所有从服务器80端口返回的数据”就用tcp.srcport 80。做接口联调时我经常要区分这两个方向。3.2 多端口组合服务可能不只跑一个端口比如HTTP跑在80和8080HTTPS跑在443可以这样写tcp.port 80 || tcp.port 8080 || tcp.port 443当然你也可以用tcp.port in {80, 443, 8080}这种集合写法更简洁tcp.port in {80, 443, 8080}这个语法挺实用尤其在配置了好多端口的场景下不用写一串长长的或运算。3.3 端口范围和大小比较Wireshark的显示过滤器支持比较运算端口也一样。比如你想看所有高端口流量通常客户端随机端口范围在1024以上可以写tcp.port 1024想做范围限制也可以tcp.port 1024 tcp.port 65535这种写法平时用得不那么多但在分析端口扫描或者临时服务时很管用。注意UDP和TCP都有端口但两者是独立的。你在过滤栏写port 80的意思是“TCP的80端口或UDP的80端口”而tcp.port 80只匹配TCP。做精确过滤时我建议用带协议的写法避免UDP和TCP混在一起。4. 第3类协议过滤器与第4类字段级过滤端口过滤能锁住服务但还不能区分这个数据包是握手包、数据包还是断开包。这时候就要上到协议层和字段级的过滤。这两类放在一起讲因为它们本质上是一回事先选协议再选字段最终定位到某个具体行为。4.1 直接按协议名过滤最简单粗暴的方式直接在过滤栏里输入协议名。比如只看ARP、DNS、HTTP、HTTPS、TCP、UDP、ICMParp dns http tls tcp udp icmp这个方法的妙处在于它可以和IP、端口自由组合。比如看某个IP的所有ICMP包排查网络通不通的最常见操作ip.addr 10.0.0.1 icmp如果只想看ARP里的某个主机就加上arp.src.proto_ipv4这种字段Wireshark会自动补全字段名你输入arp后点下拉列表能看到所有可选字段。4.2 常见的字段级过滤协议名过滤是粗筛字段级过滤才是精细活。我平时用得最多的字段过滤器有这么几个。HTTP相关http.request.method GET http.request.method POST http.host www.example.com http.response.code 200 http.response.code 400DNS相关dns.flags.response 1 dns.qry.name example.com dns.qry.type 1 // A记录查询 dns.qry.type 28 // AAAA记录查询TCP相关tcp.flags.syn 1 tcp.flags.ack 1 tcp.window_size 0 tcp.analysis.retransmission举个实际例子。某天有同事说“某个域名解析很慢”我抓包后用下面这条过滤条件dns.qry.name contains slowdomain结果一眼看到一串DNS查询每次间隔好几秒说明客户端在超时重查问题定位到DNS服务器响应慢跟链路无关。这就是字段级过滤的威力——直接看向具体哪个域名、哪个记录类型。4.3 关于大小写和字段名新手最容易吐槽的就是Wireshark字段名记不住其实完全不需要硬记。你在过滤栏输入时Wireshark会有自动补全和提示比如你输入http.它会列出所有以http.开头的字段直接点选就行。另外一个技巧在包详情面板里右键某个字段选择“作为过滤器应用”它会自动帮你生成准确的过滤表达式这就是做可视化筛选最快的方式后面专门讲。5. 第5类TCP标志位与状态过滤看懂连接的一生TCP三次握手、四次挥手、重传、零窗口这些状态全靠标志位来表示。排查网络质量问题时只看TCP状态就能发现很多端倪。5.1 抓住SYN和ACK看一个TCP连接是怎么建立的用SYN和ACK来筛tcp.flags.syn 1 tcp.flags.ack 0这是纯SYN包也就是连接发起方发出的第一个握手包。tcp.flags.syn 1 tcp.flags.ack 1这是SYNACK包是服务端对SYN的回应。这两条一组合你就能很清楚看到一次握手的起止。判断是客户端还是服务端发起的连接最直接的办法就是先看SYN包它的源IP就是主动发起连接的一方。5.2 重传与乱序TCP的重传是排查网络丢包的“铁证”。在Wireshark里不需要手动对比序列号直接过滤tcp.analysis.retransmission所有被判定为重传的包会立刻高亮出来。如果重传的包很多说明链路有一定丢包如果重传集中在一个IP对之间可能是某一段网络质量问题如果重传是乱序的、反复的那就要进一步看是不是设备性能问题。此外还有tcp.analysis.duplicate_ack tcp.analysis.zero_window前者表示重复确认通常和乱序或丢包相关后者表示接收方窗口为0意思是接收方处理不过来了常见于应用层阻塞、Java GC停顿之类。这些都是网络排查里非常典型的“红灯”信号。5.3 按TCP流过滤如果已经找到了一条感兴趣的TCP连接想看整条流的所有包右键某个包选择“Follow TCP Stream”Wireshark会帮你把这条流里的所有包单独列出来。注意这是临时行为不会改变下层其他过滤条件而且如果你想从这条流里再继续深挖可以把这个“Follow”的过滤表达式复制出来。它的内部表达式一般是tcp.stream eq 0你也可以直接手写比如tcp.stream eq 5就看第5条TCP流。这个方法在做HTTP排障时特别方便直接看一个请求-响应对的完整生命周期。6. 第6类字符串与内容检索在包体里大海捞针有些问题光看头部字段解决不了比如你怀疑某个API返回的报文里出现了某个异常关键词或者想知道有没有某个SQL语句传到数据库这时候就要在数据包的应用层内容里做匹配。6.1 contains简单子串匹配contains用来判断某个字段中是否包含指定字符串。最常用于HTTP、Modbus、MySQL这类明文协议。比如我想看所有HTTP请求URL里带“login”的包http.request.full_uri contains login想找TCP载荷里出现某个关键字tcp.payload contains admin想找某个域名相关的TLS SNItls.handshake.extensions_server_name contains examplecontains支持引号也可以用字节序列匹配比如找十六进制的特征tcp.payload contains 01:02:03:04这个功能在分析一些自定义TCP私有协议时很救命因为你不知道对方的协议结构但你知道正常报文里肯定有一段固定的魔数开头一梭子打过去就能把相关包全捞出来。6.2 matches正则表达式matches比contains更高级支持正则。Wireshark的正则语法用的是PCRE风格。比如你要找某个域名下所有子域名的流量http.host matches cdn\\.(example|test)\\.com注意Wireshark里正则的转义一个点要写成\\.这个细节让很多人踩坑。还有matches只支持字符串比较如果用在不支持字符串的字段上会直接报错。举一个实际用法排查某APP客户端连接了哪个服务器地址版本但后缀不确定只知道是prod还是gray那就用matches一把梭tls.handshake.extensions_server_name matches api.*(prod|gray)6.3 关于大小写敏感contains是大小写敏感的HTTP和http是两个不同的串。如果你需要忽略大小写多数情况下得靠正则或者用Wireshark的string函数。这个函数比较偏门但确实存在string(http.request.uri) contains login不过实际项目中我通常直接用matches写一下正则更灵活。7. 第7类时间过滤器揪出慢的根源排查性能问题时“时间”是关键维度。一个接口慢慢在哪是握手慢、首字节慢还是传输慢时间过滤器就是干这个的。7.1 帧间时间差Wireshark里每个数据包都有时间戳两个最常用的时间相关的派生字段是frame.time_delta与上一帧的间隔单位是秒frame.time_delta_displayed与上一条“显示出来的”包的间隔后者特别有用因为当你用了显示过滤之后界面上的包已经不是原始顺序的相邻帧了但frame.time_delta仍然基于原始帧而frame.time_delta_displayed则基于你过滤之后看到的包。比如我想找出所有“在上一帧之后等了超过0.5秒才有响应”的包frame.time_delta_displayed 0.5这个过滤条件配合HTTP请求能快速定位是哪个阶段耗时长。比如一个HTTP请求的响应包之前隔了2秒那问题基本就在服务端处理逻辑上。7.2 请求到响应的耗时HTTP请求和响应配对之后Wireshark会计算一个http.time字段代表请求发出到响应完成的时间。直接http.time 1所有超过1秒的HTTP请求全部浮出来这在接口性能分析里是一招绝活。7.3 相对时间和绝对时间frame.time_relative包相对于抓包开始时间的时间偏移frame.time包的绝对时间想抓某个时间窗口内的包比如下午两点到两点十分frame.time 2025-03-01 14:00:00 frame.time 2025-03-01 14:10:00这种用法对事后分析pcap文件很有用尤其是抓了一整天的包先按时间段切分再逐步缩小范围。8. 第8类逻辑组合与括号优先级过滤器真正的灵魂前面讲了七类单独用它们你已经能处理很多场景。但真实世界的问题往往需要用两个、三个条件组合才能精确命中。逻辑运算符就是把这些条件像乐高一样拼起来的关键。8.1 三种基本逻辑运算且前后条件都要满足||或前后条件满足其中一个即可!取反否定后面的条件比如我想找A主机访问B主机80端口的HTTP请求ip.src 192.168.1.10 ip.dst 192.168.1.20 tcp.port 80 http.request排除掉某个IP的所有流量!(ip.addr 192.168.1.10)8.2 括号的优先级组合条件一多优先级就很重要。默认情况下优先级高于||但阅读起来容易混乱最好的习惯是把每个逻辑块用括号包起来。比如“主机A的HTTP流量或者主机B的DNS流量”(ip.addr 192.168.1.10 http) || (ip.addr 192.168.1.11 dns)不写括号的话很容易被Wireshark解释成完全不同的意思。我曾经见过一个同事写的条件ip.addr 192.168.1.10 || ip.addr 192.168.1.11 http表面上看他想找“A或B的HTTP流量”但根据优先级这个式子实际是“A的所有流量加上B的HTTP流量”导致匹配出大量意料之外的包。所以我的建议很明确只要组合条件超过两个就给每组条件加括号没有例外。8.3 运算符简化Wireshark里也可以用eq代替!用ne代替用and代替||用or代替!用not代替甚至大小写不敏感。不同教材写法不同但实际效果一样。比如ip.addr 192.168.1.10 tcp.port 443 ip.addr eq 192.168.1.10 and tcp.port eq 443两种写法完全等价。我个人习惯用符号形式因为打字更快两种写法都能识别根据个人习惯来就好。但有一点要记牢在过滤栏里不能混用和and之外的其他写法比如是位运算跟完全不是一回事写错会导致语法错误。9. 第9类界面级快速过滤不需要背语法的“懒人神器”第9类严格来说不是输入过滤表达式而是利用Wireshark界面自带的功能把过滤器的使用效率提升一个档次。为什么我把归为第9类因为它是所有过滤器技巧中最容易上手、也最容易被忽略的一类。9.1 右键“作为过滤器应用”在报文列表的任何一列上右键比如某个包的源IP、目的IP、协议、端口号都可以看到“作为过滤器应用”的子菜单里面会有“选中”“未选中”等选项。点击之后过滤栏自动生成对应的过滤条件。这是一个什么概念你完全不用记忆ip.src x.x.x.x这种语法只要定位到一个包右键一下符合条件的流量就全筛出来了。尤其是当你想快速查看某个TCP流、某个域名对应的所有流量时这个操作的效率比手打快三倍。9.2 右键“作为列显示”这个功能和过滤器关系也很大。Wireshark默认的列是No.、Time、Source、Destination、Protocol、Length、Info但对特定场景来说不够用。你可以右键详情面板里的某个字段选择“作为列显示”然后把它变成一个可排序、可筛选的新列。最实用的例子把http.response.code或者dns.qry.name作为列显示这样你一眼就能看到整个抓包结果里所有HTTP状态码或所有查询的域名。配上过滤条件又能看数据又能看统计非常直观。9.3 对过滤器列做高亮和着色显示过滤器不只是“筛选”还可以用来“着色”。Wireshark的“View - Coloring Rules”可以自定义颜色规则本质就是过滤器表达式加颜色。比如把tcp.analysis.retransmission染成红色把http.response.code 400染成橙色把dns染成蓝色。这样抓包界面在海量流量里也能“一眼红”不用等过滤条件切来切去。9.4 IO Graph与统计里的过滤Wireshark里的IO Graph、Flow Graph、Statistics菜单里几乎都支持过滤表达式。比如我在可视化流量的时候会设置两条不同的过滤曲线一条http.request一条tcp.analysis.retransmission叠在一起看拐点哪个时间点重传飙升哪个时间点请求量骤降一目了然。这就是很多人说Wireshark“可视化”能力的来源本质上还是过滤器在驱动。10. 九类过滤器速查表以下是日常最常用的过滤表达式汇总建议直接收藏分类过滤表达式说明第1类 IPip.addr 192.168.1.10某IP所有流量源或目的第1类 IPip.src 192.168.1.0/24某源网段流量第2类 端口tcp.port 80任意方向80端口第2类 端口tcp.port in {80, 443, 8080}多个端口第3类 协议http/dns/arp/icmp只看某种协议第4类 字段http.request.method GET特定HTTP方法第4类 字段http.response.code 400错误状态码第4类 字段dns.qry.name contains example域名模糊匹配第5类 TCP状态tcp.flags.syn 1 tcp.flags.ack 0首次握手的SYN包第5类 TCP状态tcp.analysis.retransmission所有重传包第6类 文本检索tcp.payload contains keyword负载关键字第6类 文本检索http.request.full_uri matches login.*token正则匹配URI第7类 时间frame.time_delta_displayed 0.5两帧间隔超0.5秒第7类 时间http.time 1HTTP请求响应超过1秒第8类 逻辑组合(ip.addr 1.1.1.1 http) || (ip.addr 2.2.2.2 dns)分组组合第9类 界面操作右键“作为过滤器应用”不手写表达式11. 实战用这几类过滤器解决一个真实问题纸上谈兵没意思我用一个曾经的排障过程把这九类过滤器串起来你感受一下它们的联动效果。11.1 场景描述一个内部系统的Web页面突然变慢用户反馈点一下按钮要转圈十几秒。我先在网关出口镜像端口抓包大概抓了五分钟pcap文件有几百MB。然后开始逐层过滤。第一步先锁定目标主机的HTTP流量ip.addr 10.20.1.88 http结果发现HTTP请求每秒没多少但响应时间确实很长这时候我加了时间条件ip.addr 10.20.1.88 http.time 3筛出一堆超过3秒的请求。再右键某个慢请求Follow TCP Stream看到服务端返回数据之前有大量TCP重传。第二步分析重传到底发生在哪一段ip.addr 10.20.1.88 tcp.analysis.retransmission发现重传包源IP都是客户端到服务器方向的而且集中在某一个网段。再结合IP过滤ip.src 10.20.1.88 tcp.analysis.retransmission和ip.dst 10.20.1.88 tcp.analysis.retransmission一对比重传集中在客户端发到服务器方向链路丢包率偏高问题定位到中间网络设备。整个过程不到十分钟每一层过滤都在缩小范围从几百MB的包到最后几十条重传记录。11.2 第二个场景域名解析异常另一个案例是某天外网访问异常抓包后直接用dns.qry.name contains example.com查看所有相关DNS查询。把dns.flags.response和dns.qry.name组合起来能看到查询次数、响应次数、响应时间。发现每次查询都要5秒超时重发进一步用时间过滤dns.time 1确认DNS响应慢。最后定位到本地DNS转发配置有问题和Wireshark无关但全流程都是用过滤器一步步逼出来的。11.3 第三个场景找一条可疑的TCP流还有一次排查安全事件需要确认一个外联IP的TCP连接是否在传输敏感数据。这时候我先用IP地址过滤锁定目标IP所有流量ip.addr 203.0.113.5再右键任意一条连接Follow TCP Stream发现载荷里面有大量明文关键字。然后用tcp.payload contains去统计出现了多少次ip.addr 203.0.113.5 tcp.payload contains username这个结果直接成为交接给安全团队的证据之一。12. 常见问题与避坑实录12.1 过滤栏背景变红是怎么回事在显示过滤器里输入内容时背景色会跟着变化绿色表示语法正确黄色表示可能有问题但仍可接受红色表示语法错误。这个设计很贴心但很多人没注意到导致输完一条条件后Wireshark没有任何数据返回、一脸懵。建议养成习惯看到红色就先检查有没有少括号、字段名有没有拼错、引号有没有闭合。12.2 “ip.addr ! x.x.x.x”为什么不符合预期这个前面提过值得单独再强调一次。ip.addr ! 192.168.1.10在Wireshark里的语义是“存在一个不等于这个IP的地址字段”因为一个包有源地址和目的地址两个字段只要其中一个是其他IP就匹配成功相当于根本没过滤掉什么。正确的排除写法是!(ip.addr 192.168.1.10)12.3 contains和matches的区别contains子串匹配大小写敏感速度快matches正则匹配功能强但性能消耗稍大如果流量特别大、pcap文件几百MB不要秒秒都上正则。先用contains粗筛再用matches精筛速度会快很多。12.4 过滤结果为空不一定是没匹配到有几次我看到朋友过滤后结果是0条以为是条件错了最后发现是界面上方选中的Packet Range不对或者当前只选中了一条TCP流导致只见到了这一条流的子集。显示过滤器是作用在当前加载的所有包上的但如果先做了“Follow TCP Stream”Wireshark会自动创建一个临时过滤条件你新输入的过滤条件会和它叠加。这种情况先清空过滤栏或者点一下过滤栏旁边的清除按钮确保自己是在全局视图下操作。12.5 大文件的实时处理和分片抓包文件动辄几个G的时候过滤器本身再快加载和解码也是要花时间的。Wireshark 3.0之后的版本解析速度改善了很多但依然建议抓包时在Capture Options里配置多文件保存比如每个文件100MB存10个文件轮转避免内存爆炸。过滤技巧再熟练机器卡死了也是白搭。13. 最后再分享一点我的实操体会如果你现在刚接触Wireshark我劝你别急着背所有字段先把ip.addr、tcp.port、http.request、tcp.analysis.retransmission这四个玩明白遇到问题就右键、右键、再右键。等到你开始觉得右键不够用了再回头系统看字段列表那时候你会发现很多语法你其实已经会了只是不知道它们叫什么。另外一个小经验抓包前先在脑子里把“我要证明什么问题”写清楚。比如“这台机器访问那台机器的80端口为什么响应慢”——那么你的过滤条件大概率就是IP 端口 时间差三层的组合。目标越明确过滤器写得越快排查也就越高效。过滤器说到底就是一层窗户纸捅破之后你会发现Wireshark真正强大的地方不只是“能看到什么”而是“你想看什么就能看到什么”。希望这篇能帮你在下次被网络问题折磨的时候少走几条弯路。