副标题错误拓扑为什么看不见 CONNECT电脑开热点才能看见专栏《嵌入式学生的方案测试课》第 8 篇网口上篇专栏最细前置第 6 篇能认出 SYN第 4 篇知道 AT 不是网包第 5 篇四层标签嵌入式、Wireshark、MQTT、WiFi、软件测试读者假设从来没认真用过 Wireshark简历可能写过实际只打开过软件学完交什么三张打码截图TCP 握手、DHCP 或 Discover/Ack、MQTT CONNECT 或明文 HTTP、拓扑对错各一张草图本篇不教 monitor 空口。空口是第 9 篇。没抓到 802.11 不算失败。0. 这篇结束你能干什么能安装 Wireshark Npcap说出网卡列表里以太网、Wi-Fi、VMware、蓝牙各是什么选对「流量经过的那块」。能抓到本机 DNS 和 TCP 握手会用十个显示过滤器的正反例会 Follow TCP Stream且知道 TLS 流不是明文 MQTT。能讲清设备和电脑都连同一台 WPA2 家用 AP 时你常常看不到设备去云的 MQTT正确做法是电脑开热点或 USB 网络共享、电脑当网关让流量经过你的网卡。能把串口 GOT IP 时间和抓包 SYN/CONNECT 按秒对齐。这是学生最容易装懂、面试最容易翻车的一篇。正文按点击写。你现在屏幕上应看到什么我会写出来。1. 为什么同一 AP 下你抓不到设备 MQTTWPA2 下AP 和设备之间的单播是加密的。你的笔记本网卡不是这对会话的端点普通模式收不到、也解不开设备的 MQTT。错误拓扑设备 ----(加密单播)---- 家用 AP ---- 云 电脑 ----(另一份加密)---- 家用 AP电脑 Wireshark 再努力也只看见电脑自己的包外加一些广播。设备的 MQTT 不经过你。正确拓扑本篇主练设备 ---- 电脑热点/网关 ---- 云 | Wireshark 抓这块网卡流量经过你的协议栈网口就能看到 IP/TCP/MQTT。这仍然不是空口Protocol 列是 TCP/MQTT第一层是 Ethernet 或你热点的虚拟以太网不是 Radiotap802.11。三种正确接法选一种Windows 移动热点电脑上网设备连这个热点 SSID手机 USB 网络共享到电脑设备连手机热点确认共享后流量是否经过电脑不行就换 1电脑有线接路由 LAN、无线当热点或两块网卡做网关本篇推荐 1。SSID 仍用lab-ap-01一类密码不要发到博客。AT 文本还在 UART 上。热点抓包仍然看不到ATCWJAP。两份证据要一起存串口 txt pcap/截图。2. 网口是什么再钉一次网口 主机网络栈交上来的包常见树Frame - Ethernet II - IPv4 - TCP - MQTT/HTTP你能看到这台电脑收发的当电脑是网关时经过它的。你看不到别人和 AP 的加密单播Beacon/Probe/Auth/Assoc空口。显示过滤器已经抓下来再筛安全本篇只用它。捕获过滤器抓之前就丢写错会抓空。学生先不要用捕获过滤器。3. 安装与第一次抓网页安装 Wireshark勾选 Npcap。非管理员抓包可先不勾抓不到再勾或用管理员打开。打开后是网卡列表不是包列表。认名字以太网网线Wi-Fi本机无线本地连接 * / 桥接虚拟机、热点 NicBluetooth不是 Wi-Fi 空口热点实验要选「承载热点的那块 / 已连接设备流量的那块」。不确定就先开热点观察哪块网卡有包在跳或两块都抓一次对照。选错网卡 抓到自己上网、抓不到设备。点左侧鲨鱼鳍开始。你现在应看到包列表往下刷。浏览器打开任意网页。停红方块。窗口三块上包列表中详情树下 hex。点一行 DNS 或 TCP树应能展开到 IPv4。过滤器dns应看到查询。清空tcp.flags.syn1应看到握手第 6 篇。若列表全空没点开始、选错网卡、权限、Npcap 未装、虚拟机抢网卡。一次一个原因。4. 十个显示过滤器每个正反例输入后回车。语法错会红。清空用叉。过滤器正例你应看到反例筛没了ip.addr 192.168.137.x设备地址相关填错成电脑公网 IPtcp.port 1883明文 MQTT 端口实际是 8883 TLSmqttWireshark 能解析的 MQTTTLS 加密后 Protocol 是 TLSv1.2这条会空dns查询域名写死 IP 不上 DNSdhcp或bootpDiscover/Offer静态 IP 实验没有tcp.flags.syn1握手前两步漏掉第三步纯 ACKtcp.analysis.retransmission重传局域网可能为空空不等于抓失败http明文 HTTP现在网站多 HTTPS空很正常tls443 流量不能当 MQTT 明文!arp少一点噪音别以为 ARP 是故障作业把你实际用过的五个过滤器抄进filters.md各写一行「我用它证明什么」。Follow TCP Stream右键一条 TCP - Follow - TCP Stream。ASCII 窗对明文 HTTP/MQTT 有用。TLS 是乱码不要报告「MQTT 是乱码所以芯片坏了」。那是加密。5. 正确拓扑抓 DHCP 和 MQTT5.1 DHCP设备连热点。过滤器dhcp。期望看到 Discover - Offer - Request - Ack四步名称以列表为准。这是第 5 篇 IP 层的网口证据。关 DHCP 的对照可能只有 Discover无 Offer。现在可以写进缺陷单附件了。5.2 本机 Mosquitto没有板也能练 MQTT 字段电脑装 Mosquitto 或用 MQTTX 连127.0.0.1:1883。选回环网卡或「Adapter for loopback」。过滤器mqtt。点 CONNECT详情树指出Message Type CONNECTClientIdKeep Alive用户名密码若有再看 CONNACK Return Code。这是第 10 篇的预习。本篇作业允许用本机 MQTT 代替板子 CONNECT但必须另做热点拓扑的设备 HTTP 或 MQTT 之一证明你理解「流量要经过这台电脑」。5.3 板子走热点ESP8266 连电脑热点ATCIFSR应是热点网段Windows 热点常见 192.168.137.x。然后有 MQTT 就连 1883 明文 broker本机 IP 或可到达的测试 broker没有就ATCIPSTARTHTTP 或打开一个明文 URL过滤器ip.addr 设备IP (mqtt || http || tcp.port1883)。你应看到设备 IP 为源、电脑或云为目的的 SYN以及 CONNECT 或 HTTP。串口时间对齐电脑时间先对时。串口GOT IP的秒对应 DHCP Ack 或其后几秒的 TCP SYN。差一分钟说明时钟没对不要硬解读。6. 泰芯对照AH 2.4 版有 IP电脑网口可打流、抓 TCP。1.6 透传无模组 IP抓的是两边电脑的包。TXW82x 图传电脑连设备热点看 RTSP抓到的是网口 RTP/TCP仍不是空口。网桥 netat 从网口发 AT那是例外通道学生无网桥只认知。缺陷单附件写清pcap 是网口串口是 AT。标题禁止「Wireshark 坏了」。7. 缺陷单标题【MQTT】弱网 retransmission 增多后 RST云端命令丢失 附件retrans.png网口uart.txtRSSI 与 GOT IP 时间 说明同一家用 AP 下未抓到设备 MQTT 属拓扑限制已改电脑热点复现。8. 30 秒口径默认 Wireshark 是网口看 Ethernet/IP/TCP/MQTT。设备和电脑同连家用 WPA2 AP我看不到设备去云的单播。要把设备连电脑热点或在网关侧抓。AT 仍在串口。空口 802.11 要 monitor本篇没做。9. 作业三张必交打码 MAC/公网 IP/SSIDlabs/week08/ topo-wrong.png / topo-right.png syn.png dhcp.png mqtt-or-http.png filters.md nic.md # 选了哪块网卡、为什么验收Protocol 列能看出是 TCP/MQTT/DHCP 不是 802.11热点实验有设备 IP 为源注明未做空口。10. 自测与翻车为什么家用 AP 下看不见设备 MQTT单播加密且不经过你。mqtt过滤器为空一定没发 MQTT 吗不一定TLS 或选错网卡。Follow Stream 乱码是芯片坏了吗常常是 TLS。抓到 CONNECT 算空口吗不算。翻车网口冒充空口同一 AP 下吹抓到云端密钥把 AT 会话当 pcap。下一篇第 9 篇空口是什么、Beacon/Assoc、为什么 Windows 默认抓不到、没有 monitor 时用串口 RSSI 和驱动 event 替代。第 8 篇完11. Windows 移动热点网卡怎么选设置 - 网络 - 移动热点。开起来后Wireshark 列表里可能多一块「本地连接 * 数字」或名称带 Microsoft Wi-Fi Direct / 已连接。设备连上后这块网卡字节计数会跳。选它。若你选了「以太网」而电脑用 Wi-Fi 上网你可能只看见电脑去互联网的包仍看不见设备。对照方法过滤器dhcp拔插设备看有没有新的 Discover。没有就换网卡再抓不要改设备固件。虚拟机 VMware / VirtualBox 网卡平时关掉捕获少噪音。蓝牙网卡永不用于本篇。12. DHCP 四步你应圈的 InfoDHCP Discover 设备 - 广播 DHCP Offer 服务器 - 设备 DHCP Request 设备 - 服务器 DHCP ACK 服务器 - 设备yiaddr 就是 GOT IP串口 GOT IP 应和 ACK 同一秒量级。只有 Discover热点没开 DHCP 或选错网卡。这是第 5 篇 IP 层的网口铁证。13. 三张必交图的标注词SYN 图圈 Flags SYN / SYN,ACK。写「网口 TCP」。DHCP 图圈 ACK 里的 IP。写「网口 DHCP」。MQTT/HTTP 图圈 Protocol 列 MQTT 或 HTTP。写「仍是网口不是 802.11」。三张都出现 Radiotap 才叫空口——本篇不应出现。若出现你选成了某种 monitor转到第 9 篇诚实声明。14. 合格周记Npcap 已装。热点 lab-ap-01。设备 192.168.137.x。 nic.md选择「本地连接 * 2」因为 dhcp 只在这块出现。 未做空口。同一家庭 AP 下实验证明看不见设备 MQTT过滤器 mqtt 空本机浏览仍有 tls。