Wireshark使用技巧

时间:2024-05-03 11:04:44

Wireshark使用技巧

在分析网络时,包应该尽量的小,只要能定位问题即可。

1. 只抓包头,在wireshark中可以设置抓包大小。

如果使用tcpdump命令:

[root@server_1 /]# tcpdump -i eth0 -s  -w /tmp/tcpdump.cap

2. 只抓必要的包;

   Capture Filter功能:filter 表达式请参考http://wiki.wireshark.org/CaptureFilters。抓包时的过滤

   使用tcpdump命令抓包时,过滤指定ip的包,并把结果保存到文件:

[root@server_1 /]# tcpdump-i eth0 host 10.32.200.131-w /tmp/tcpdump.cap

    使用ip过滤要注意NAT地址转换将ip地址改掉的问题。

3. 可以写一个脚本循环抓包,等侦查到某事件时自动停止。

4. 抓包后的过滤;Filter

ip.addr eq 10.32.106.50 && tcp.port eq 

  协议名称过滤:portmap || mount ;可排查NFS共享挂载失败的问题。

  显示过滤参考:https://www.wireshark.org/docs/dfref/

  注意:如果将过滤后的文件保存,将不再是一个完整的 TCP Stream。

5. wireshark的自动分析功能;

  Wireshark 的Analyze-->Expert Info Composite,

  Statistics-->Service Response Time

  Statistics-->TCP Stream Graph,可以生成几类统计图

  Statistics-->Summary,可以看到一些统计信息

6. wireshark可用来辅助性能调优;

参考资料:

  wireshark网络分析就是这么简单:NFS全过程;网络层通信解析