捕获数据包（Wireshark）

1 指定网络接口

1.1 接口种类

Wireshark提供了3中接口类型，分别是本地接口、管道接口和远程接口。

本地接口

本地接口就是本地网络主机固有的接口，如以太网接口、本地回环接口等。使用本地接口只能捕获经过本地网络接口的数据包。在Wireshark的菜单栏中依次选择“捕获”|“选项”命令，打开“捕获选项”对话框，如下图所示。

在“捕获选项”对话框中单击“Manage Interfaces”按钮，打开“管理接口”对话框，如下图所示。

“管理接口”对话框包括3个选项卡，分别是“本地接口”、“管道”、“远程接口”选项卡。其中，“本地接口”选项卡显示扫描到的所有本地接口；“管道”选项卡显示管道接口；“远程接口”选项卡显示远程接口。从该对话框可以看到所有的本地接口，默认都将显示。如果用户不希望显示某个接口，将“显示”列复选框中的对勾取消即可。

管道接口

管道接口就是通过使用管道的方式，将一个工具输出的数据发送给Wireshark，进而捕获到对应的数据包。例如，如果用户所在的位置不能使用Wireshark捕获数据包，可以借助其他命令行（如tcpdump和dumpcap等）工具来捕获数据包。然后使用管道接口方式，将捕获到的数据发送给Wireshark。

远程接口

远程接口是指远程客户端通过网络将数据传递给本地接口。用户只要在远程主机上安装相应的rpcapd服务，就可以实现在本地计算机上执行Wireshark，捕获远程计算机的流量。

1.2 选择接口

当用户对接口种类了解清楚后，就可以选择对应的接口来捕获数据包了。

其中，网络接口对应的线条格式为波浪是，则表示有数据传输；如果是直线的话，则表示没有数据传输。此时，用户选择一个接口，并单击工具栏中的开始捕获分组按钮，将开始捕获数据。
【实例】同时捕获以太网和VMware Network Adapter VMnet8接口的数据包。
在Wireshark的开始界面或者“捕获”|“选项”界面按住Ctrl键，选择以太网和VMware Network Adapter VMnet8接口接口，如下图所示。

捕获接对话框

用户也可以在“捕获接口”对话框中选择接口。在菜单栏中，依次选择“捕获”|“选项”命令，打开“捕获接口”对话框。

在“捕获接口”对话框中，“输入”选项卡供包括8列，分别为接口、流量、链路层头、混杂、捕获长度、缓存、监控模式和捕获过滤器。从“接口”列可以看到扫描的所有本地接口。用户通过单击接口名左侧的三角，即可看到该接口的地址，如上图所示。
从上图中可以看到以太网接口的IPv6地址和IPv4地址。另外，用户还可以启用混杂模式，表示捕获当前主机以外的其他主机数据包。如果想要启用某接口的混杂模式，则勾选“混杂”列的复选框即可。如果所有接口都启用混杂模式的话，则勾选“在所有接口上使用混杂模式”。在接口列表中选择捕获的接口，并单击“开始”按钮，即可开始捕获数据包。如果用户想要捕获多个接口的数据包，同样按Ctrl键即可以选择多个接口。

2 使用管道接口