1 认识wireshark1.1 wireshark简介wireshark 是一款用于分析网络报文的工具。其主要功能是捕获网络报文，并展示报文的详细内容。
此类工具在过去通常要么昂贵，要么不公开，直到Wireshark（之前称为Ethereal）问世，这种情况才得以改善。
Wireshark被认为是当今最佳的开源网络分析软件之一。
1.2 Wireshark发展历史1997年，Gerald Combs为了追踪网络问题并学习网络知识，开始开发Ethereal（即后来的Wireshark）。
1998年，Ethereal 0.2.0版本发布。随后，其潜力被越来越多的人发现，并为其提供了底层分析支持。
2006年，Ethereal更名为Wireshark。
2008年，经过十年的发展，Wireshark发布了1.0版本。
1.3 Wireshark的功能概述简而言之，Wireshark的主要功能是捕获来自各种接口的报文，如有线网口、无线网口、USB口和LoopBack口等，从而便于进行协议学习、网络分析和系统故障排查等任务。
1.4 Wireshark在不同平台的应用目前，Wireshark支持几乎所有主流的报文文件格式，包括pcap、cap、pkt、enc等。
然而，不同平台下的Wireshark在功能上存在差异。
总的来说，Linux版本的Wireshark功能和特性比Windows版本更丰富和强大。例如，Linux版本可以直接捕获USB接口报文，而Windows版本则不能。
图1，Linux下的Wireshark
图2，Windows下的Wireshark
图3，各平台下Wireshark支持的协议
上图展示了各平台下Wireshark支持的协议。从图中可以看出，Linux版本的功能最为强大，平台特性使其几乎支持所有协议。
由于日常工作中主要捕获以太网报文，且大部分操作系统为Windows，本文将以Windows平台下的Wireshark为例进行说明。
2 使用Wireshark捕获报文2.1 Wireshark的网络拓扑为了捕获HostA与HostB之间的报文，以下介绍几种Wireshark的网络拓扑。
2.1.1 在线捕获
如果Wireshark本身就是网络的一部分，那么直接捕获报文就行了。
图4，Switched Media-Same Computer
2.1.2 串联捕获
串联网络是在报文链路中插入一个设备，通过这个中间设备来捕获报文。
这个中间设备可以是一个HUB，利用HUB对域内报文进行广播的特性，连接在HUB上的Wireshark也能接收到报文。
图5，Switched Media –“Hubbing Out”
如果Wireshark有双网卡，正确设置网络转发，直接串接在链路上。
也可以利用Tap分路器对来去的报文进行分路，将报文引导到Wireshark上。
串联网络的优点是所有报文都必须经过中间设备，因此可以捕获所有包。缺点是除非事先规划好，否则需要断开报文链路，插入中间设备，会中断流量，因此通常用于学习研究，不适用于实际业务网络。
2.1.3 并联捕获
并联网络是通过现有网络设备的特性将流量引出。
如果网络本身通过HUB组网，那么将Wireshark连接到HUB即可。
如果是交换机组网，直接连接也可以捕获广播报文。
最常用的方法还是利用交换机的镜像功能来捕获报文。
并联网络的优点是不需要破坏现有网络结构，适合有业务的在线网络。缺点是HUB组网已经不常见，而交换机组网的设备在开启镜像功能后，对性能影响很大。
2.2 Wireshark的安装Wireshark是免费开源软件，可以从网上轻松获取。
Windows版的Wireshark有32位和64位两个版本，根据系统情况选择安装相应的版本。虽然64位系统可以安装32位软件，但安装匹配的版本会更好地兼容和提升性能。
在Windows下，Wireshark的底层捕获工具是Winpcap，通常Wireshark安装包中已经包含了适用的Winpcap版本，安装时记得勾选即可。
安装过程非常简单，此处不做详细描述。
2.3 使用Wireshark捕获网络报文1. 选择需要捕获的接口，点击Start开始捕获报文。
2.4 使用Wireshark捕获MPLS报文对于MPLS报文，Wireshark可以直接捕获带有MPLS标签的报文。
2.5 使用Wireshark捕获带有Vlan Tag的报文早期网卡驱动不会处理VLAN TAG，而是直接发送到上层处理，在这种环境下，Wireshark可以正常捕获带有VLAN TAG的报文。
而Intel、Broadcom、Marvell的网卡会处理报文，去掉TAG后再发送到上层处理，因此Wireshark通常无法捕获VLAN TAG。这时需要对这些网卡进行一些设置，Wireshark才能捕获带有VLAN TAG的报文。
1. 更新网卡的最新驱动
2. 按照以下说明修改注册表
3. 以Intel网卡为例，对网卡进行配置
选择Intel网卡的本地连接，右键属性
点击“配置”按钮。
在VLAN选项卡中，添加任意一个VLAN，激活接口的VLAN TAG上送功能。此时可以将“本地连接”接口视为一个Trunk接口。
配置VLAN后，如果发现系统禁用了“本地连接”接口，只需启用它，会看到网络连接中出现一个新的子接口“本地连接2”。
在Wireshark上查看捕获“本地连接”接口的报文。
可以看到已经可以捕获带有VLAN TAG的报文了。
由于此时的子接口都有VLAN属性，因此无法作为正常的网卡使用。如果想要在捕获VLAN包的同时，还能与网络正常通信，只需再创建一个未标记的VLAN即可。
这时，会生成一个对应的子接口“本地连接3”，在这个接口上正确配置网络参数，就可以正常通信了。
