【网络分析工具】网络工具wireshark、TCPdump、iperf使用详解

news2025/7/15 8:40:25

这里写目录标题

- - 1. wireshark
  - - - 1.1. 过滤包
      - 1.2. 常见分析
  - 2. tcpdump
  - 3. iperf

1. wireshark

**ip.dst eq 10.0.0.21** 是用于网络流量分析工具（例如 Wireshark 或 tcpdump）的过滤器表达式。它的作用是筛选出所有目标IP地址为 10.0.0.21 的数据包

IP.addr == 10.0.0.1 搜索指定ip

1.1. 过滤包

会弹出来的

协议过滤：
quic：过滤所有 QUIC 协议的数据包。
udp：过滤所有 UDP 协议的数据包（QUIC 基于 UDP）。
tcp：过滤所有 TCP 协议的数据包。
http2：过滤所有 HTTP/2 协议的数据包。
tls：过滤所有 TLS 协议的数据包。
IP 地址过滤：
ip.src == 192.168.1.1：过滤源 IP 为 192.168.1.1 的数据包。
ip.dst == 192.168.1.1：过滤目标 IP 为 192.168.1.1 的数据包。
ip.addr == 192.168.1.1：过滤源或目标 IP 为 192.168.1.1 的数据包。
端口过滤：
udp.port == 443：过滤 UDP 端口为 443 的数据包（QUIC 通常使用 443 端口）。
tcp.port == 80：过滤 TCP 端口为 80 的数据包。
tcp.srcport == 8080 过滤 TCP 源端口为 8080 的数据包
逻辑运算符：
&&：与（例如 quic && ip.src == 192.168.1.1）。
||：或（例如 quic || tls）。
!：非（例如 !tcp）。

基本 TCP 过滤

tcp 过滤所有 TCP 协议的数据包。
tcp.port == 80 过滤 TCP 端口为 80 的数据包（HTTP 流量）。
tcp.port == 443 过滤 TCP 端口为 443 的数据包（HTTPS 流量）。
tcp.srcport == 8080 过滤 TCP 源端口为 8080 的数据包。
tcp.dstport == 22 过滤 TCP 目标端口为 22 的数据包（SSH 流量）。

TCP 连接状态过滤

tcp.flags.syn == 1 && tcp.flags.ack == 0 过滤 TCP SYN 包（第一次握手）。
tcp.flags.syn == 1 && tcp.flags.ack == 1 过滤 TCP SYN-ACK 包（第二次握手）。
tcp.flags.ack == 1 && tcp.flags.syn == 0 过滤 TCP ACK 包（第三次握手）。
tcp.flags.fin == 1 过滤 TCP FIN 包（断开连接请求）。
tcp.flags.reset == 1 过滤 TCP RST 包（重置连接）。

TCP 数据分析

tcp.payload 过滤包含 TCP 负载的数据包。
tcp.len == 100 过滤 TCP 负载长度为 100 字节的数据包。
tcp.len > 500 过滤 TCP 负载长度大于 500 字节的数据包。

TCP 重传和异常

tcp.analysis.retransmission 过滤 TCP 重传的数据包。
tcp.analysis.zero_window 过滤 TCP 零窗口数据包（接收方缓冲区已满）。
tcp.analysis.window_update 过滤 TCP 窗口更新的数据包。
tcp.analysis.duplicate_ack 过滤 TCP 重复确认的数据包。

组合过滤

tcp && ip.src == 192.168.1.1 && tcp.port == 80 过滤源 IP 为 192.168.1.1 且端口为 80 的 TCP 数据包。
(tcp.flags.syn == 1 && tcp.flags.ack == 0) || (tcp.flags.fin == 1) 过滤 TCP 建立连接和断开连接的数据包。
tcp.analysis.retransmission || tcp.analysis.zero_window 过滤 TCP 重传和零窗口的数据包。

保存过滤结果

在 Wireshark 中应用过滤后，点击菜单栏的 File -> Export Specified Packets。
选择 All packets 或 Displayed。
保存为 .pcap 或 .pcapng 文件。

示例场景

tcp.port == 80 过滤所有 HTTP 流量（TCP 端口为 80）。
tcp.flags.syn == 1 && tcp.flags.ack == 0 过滤 TCP 握手的 SYN 包。
tcp.analysis.retransmission 过滤所有 TCP 重传的数据包。
tcp && ip.src == 192.168.1.1 && ip.dst == 192.168.1.2 过滤源 IP 为 192.168.1.1 且目标 IP 为 192.168.1.2 的 TCP 数据包。

1.2. 常见分析

1，

2，

3，

4，Window Full

61622 109.780413297 10.0.0.1 10.0.0.9 openFlow 194 [TCP Window Full] Type: OFPT EXPERIMENTER

是指的发送端发送的数据已经达到的接受窗口的上限。
继而停止发送，等待新的接收窗口的通告

此时接收端返回的是TCP zero window，表示接收端窗口为0

openflow:表示这个数据包是openflow协议， "TCP Window Full"指示符通常表示接收端的TCP接收缓冲区已满。这意味着接收端已经接收了所有能够接收的数据，并且其接收窗口已满，无法再接收更多的数据，直到一些数据被应用程序处理并从缓冲区中移除。：发送端会根据接收端的接收窗口大小来控制发送的数据量。当接收端的接收窗口为零时，发送端将停止发送新的数据，直到接收端的缓冲区有更多空间。

5,Zero Window

传输层协议TCP—滑动窗口（9）_tcp zerowindow-CSDN博客