Wireshark无线网络监测与抓包教程

计算机安全从来就不是一件轻松的事，而无线网络更是黑客眼中的“香饽饽”。原因很简单：设备之间没有物理线缆，所有数据都通过无线电波传输。要加固安全防护，第一步就是摸清当前网络上发生了什么、哪些设备在活跃。而最值得优先使用的工具，就是 Wireshark。

很多人都知道 Wireshark 擅长分析以太网，却未必清楚它对无线网络和 802.11 协议也提供了专门的选项。当你着手分析自家 Wi-Fi 时，这些功能就能派上大用场。最后，我们还会聊聊如何利用 Wireshark 的数据来制定防火墙规则，让安全防线更加坚固。

需要提前说明一点：你能捕获到多少信息，完全取决于无线网卡的性能。较新的网卡通常功能齐全，老旧或冷门型号可能不支持全部的捕获选项。如果遇到问题，不妨去 Wireshark 维基上查查，那里常有现成的解决方案。

第1步：安装

作为开源软件，Wireshark 在所有主流操作系统上都能找到。你的发行版里应该就有现成的包——Ubuntu 上直接叫 wireshark。当然，也可以下载最新源码从头编译，方法和往常一样。

第2步：启动

启动方式有讲究。如果以普通用户身份启动，只能看到发往本机的流量。要查看其他设备的数据、做更有深度的分析，就需要 root 权限。可以用 sudo wireshark 直接运行，也可以先用 root 用户运行 dumpcap 收集数据，之后再交给 Wireshark 分析。

第3步：保存数据

Wireshark 能帮你从不同角度分析网络，所以最好把捕获到的数据保存下来。操作很简单：File → Save，支持 20 多种格式，按需选择即可。

第4步：离线捕获

有些场景下你没法直接在机器上运行 Wireshark——比如远程服务器，图形界面实在太麻烦。这时可以用 dumpcap 来抓包，它提供了丰富的选项，让你只抓取感兴趣的数据。

第5步：装入数据

想分析之前捕获的会话或离线数据？File → Open 即可。加载时还能选择是否解析 MAC 地址、网络层或传输层名称，方便阅读。

第6步：选择接口

准备工作就绪后，第一步是告诉 Wireshark 要监听哪些网络接口。主界面上点击最左边的接口图标，或者 Capture → Interfaces…。你可以选择任意组合，甚至用一个伪接口同时捕获所有设备的数据。

第7步：开始捕获

在接口设置窗口里，还可以点击“选项”进一步微调捕获条件。一切就绪后，点“Start”就开始抓包了。主窗口会不断刷新，列出一个个网络数据包，接下来就看你怎么处理了。

第8步：查看实时数据

捕获开始后——根据网络繁忙程度，数据量可能相当可观——你能快速看到当前发生的一切。前两列显示数据包编号和捕获时间，中间三列是源地址、目的地址和协议，最后一列是单行摘要，方便你锁定感兴趣的数据包。

第9步：名称解析

默认情况下，Wireshark 只解析 MAC 地址和传输层名称，IP 地址还是原始的。如果想把 IP 换成主机名，可以在接口选项里开启新捕获时解析，也可以对已捕获数据手动操作：View → Name Resolution → Enable for Network Layer，然后重新加载数据即可。

第10步：查看数据包详细信息

选中一个数据包，屏幕下方会显示它的详细字段。如果屏幕太小，双击这个包就能在新窗口里展开查看。

第11步：设置混杂模式

监测无线网络，最关心的当然是看看整个网段里都有什么。这就需要把网卡设为混杂模式，而这一步要求 Wireshark 以 root 身份运行。在接口选项窗口里就能找到这个设置。

第12步：设置捕获过滤器

默认情况下，Wireshark 会捕获所有能看到的流量——刚开始这没什么问题。但等你摸清了网络流量的类型，就可以设置捕获过滤器，只抓取特定设备或特定协议的数据，节省资源也减少干扰。

以上 12 步，足以让你用 Wireshark 把家庭或企业无线网络盯得明明白白。希望这些内容对实际工作或学习有所帮助。