Wireshark抓包分析TCP/IP协议原理

### 使用Wireshark抓取和分析TCP/IP协议

#### 设置过滤条件
为了专注于特定类型的流量，在启动Wireshark并准备捕捉之前，应当设置显示过滤器。对于想要捕获的TCP报文而言，可以通过输入`tcp`作为捕获过滤器[^1]。

tcp

当应用这个过滤器之后，Wireshark只会展示那些匹配到TCP协议的数据包，从而简化了后续的分析工作量。如果目标是更精确地定位某类IP地址相关的活动，则可以在上述基础上进一步添加源或目的IP地址作为附加筛选标准。

#### 查看详细信息
一旦成功截获感兴趣的TCP连接中的单个数据帧，用户能够通过双击该条目深入探究其内部结构。这一步骤允许观察者审查每一层封装的信息字段及其对应的十六进制表示形式，有助于理解各层次间交互的具体细节以及可能存在的异常情况[^2]。

#### 协议栈关系说明
值得注意的是，虽然在网络分层模型里提到过“IP位于TCP之下”，但这并不意味着两者之间存在隶属关系；相反，它们各自独立运作于不同抽象级别之上。具体来说，IP负责处理主机间的寻址与路由选择问题，而TCP则关注应用程序之间的可靠传输服务提供。

#### 实际操作案例分享
假设现在要监控一台服务器对外发起的所有HTTP请求（默认情况下运行在80号端口），那么除了基本的`tcp.port==80`之外还可以结合其他属性比如域名、路径等构建更加复杂的查询语句以便更好地满足实际需求[^4]：

http && tcp.dstport == 80

这种做法不仅提高了效率也增强了灵活性，使得即使面对复杂多变的应用场景也能从容应对。