Wireshark使用技巧

Wireshark使用技巧

在分析网络时，包应该尽量的小，只要能定位问题即可。

1. 只抓包头，在wireshark中可以设置抓包大小。

     如果使用tcpdump命令:

[root@server_1 /]# tcpdump -i eth0 -s 80 -w /tmp/tcpdump.cap

2. 只抓必要的包；

　　　Capture Filter功能：filter 表达式请参考http://wiki.wireshark.org/CaptureFilters。抓包时的过滤

　　　使用tcpdump命令抓包时，过滤指定ip的包，并把结果保存到文件：

[root@server_1 /]# tcpdump-i eth0 host 10.32.200.131-w /tmp/tcpdump.cap

 　　　　使用ip过滤要注意NAT地址转换将ip地址改掉的问题。

3. 可以写一个脚本循环抓包，等侦查到某事件时自动停止。

4. 抓包后的过滤；Filter

ip.addr eq 10.32.106.50 && tcp.port eq 445

　　协议名称过滤：portmap || mount ；可排查NFS共享挂载失败的问题。

　　显示过滤参考：https://www.wireshark.org/docs/dfref/

　　注意：如果将过滤后的文件保存，将不再是一个完整的 TCP Stream。

5. wireshark的自动分析功能；

　　Wireshark 的Analyze-->Expert Info Composite，

　　Statistics-->Service Response Time

　　Statistics-->TCP Stream Graph，可以生成几类统计图

　　Statistics-->Summary，可以看到一些统计信息

6. wireshark可用来辅助性能调优；

参考资料：

　　wireshark网络分析就是这么简单：NFS全过程；网络层通信解析