wireshark和geoip

### Wireshark 中 GeoIP 地理位置解析

Wireshark 软件能够通过安装第三方数据库来显示 IP 地址的位置信息，这被称为 GeoIP 或地理定位 IP[^1]。为了实现这一功能，在准备阶段需下载适用于当前 Wireshark 版本（特别是 3.0 及以上版本）的 MaxMind 数据库文件。

#### 下载并配置MaxMind数据库

对于 Wireshark 的 GeoIP 功能来说，最常用的第三方数据库来自 MaxMind 公司。用户可以从官方网站获取免费版的 GeoLite2 Country 和 City 数据库，并将其解压到指定目录下以便后续配置使用。

#### 配置Wireshark以支持GeoIP

完成上述准备工作之后，打开 Wireshark 并进入 `Edit` -> `Preferences` 设置界面；接着在左侧列表中找到 `Name Resolution` 选项卡下的 `Enable geographical resolution of IP addresses (using GeoIP)` 复选框勾选启用该特性。此时还需确保已正确设置了之前下载好的 MaxMind .mmdb 文件路径。

一旦完成了这些设置操作后，每当捕获的数据包中含有 IPv4 或者 IPv6 协议字段时，Wireshark 就会尝试查询本地存储着地理位置映射关系表项中的对应记录，并将结果显示于界面上供分析人员查看。

# 假设已经下载好了 mmdb 文件至 /usr/local/share/GeoIP/
cd /path/to/wireshark/prefs/directory
echo "geoip.database_directory=/usr/local/share/GeoIP/" >> wiresharkrc