一句话定位：全球使用最广的免费开源网络协议分析工具，把网卡上来来往往的数据包逐条摊开给你看，是排查网络问题的「显微镜」。
痛点：网速慢、连不上，只能靠猜
「网页打不开」「视频一直转圈」「公司系统连不上」——遇到这类问题，常规做法是重启路由器、换浏览器、打电话问运维，本质都是在猜。
问题在于，网络世界的一切都以数据包的形式存在。哪一步请求发出去了、对方有没有回应、回应用了多久、卡在 DNS 还是 TLS 握手，这些信息其实都摆在链路上，只是普通用户看不到。
Wireshark 做的事情就是把这些包抓下来、解析成人类能读懂的协议字段，让「猜」变成「看」。
核心能力
- 协议解析：内置上千种协议解析器，从 TCP/IP 到 HTTP/2、DNS、TLS 都能逐层展开
- 过滤表达式：抓完之后用显示过滤器精确定位，比如只看某个 IP 或某个域名
- 跟随数据流：把一次完整会话的所有包拼成连续文本，读起来直观
- 统计视图：会话列表、协议分布、吞吐曲线，快速定位异常
- 导入导出：支持 pcap / pcapng 格式，可与其他工具互转
- 跨平台：Windows、macOS、Linux 都有官方版本
实测体验
安装包约 80MB，安装时会附带 Npcap 抓包驱动，这一步必须勾选，否则启动后看不到任何网卡。
打开后选择要监听的网卡，点开始抓包，流量立刻就滚起来了。第一次用的人容易被满屏的数据包吓到，实际使用时通常先抓几十秒，然后按停止，再慢慢过滤。
一个典型场景：某个网站打开特别慢。先抓包，再用过滤器筛出这个域名相关的 DNS 查询，很快发现解析花了三秒多——问题出在 DNS，不在网站本身，换成公共 DNS 后恢复正常。整个过程比反复重启路由器高效得多。
另一个常见用法是排查 HTTPS 握手失败。Wireshark 会把 Client Hello、Server Hello、证书链逐条列出，能直接看到是证书过期还是域名不匹配，省去大量来回试错。
对普通用户来说，门槛主要在过滤表达式上，但只要记住几个常用写法（按 IP、按端口、按协议），覆盖日常排查已经够用。
适合谁
- 需要排查网络故障的运维、IT 支持人员
- 学习计算机网络的学生，以及备考网络工程师的考生
- 开发人员调试自己服务的 HTTP / WebSocket 接口
- 关心家庭网络里是否存在异常外联的用户
需要注意的地方
- 抓包会捕获经过网卡的所有明文流量，涉及隐私，公共网络环境下不要随意抓取并分享
- 现代网站绝大多数流量已加密，抓到 TLS 包只能看握手和元数据，看不到正文
- 数据包列表信息密度极高，新手需要一个学习过程
- 持续抓包会占用 CPU 和磁盘，排查完记得及时停止并清理保存的文件
小结
Wireshark 更像一件「专业仪器」而不是日常软件——你不会天天打开它，但只要遇到说不清的网络问题，它给出的答案比任何猜测都可靠。免费、开源、跨平台，加上网络上现成的大量教程，学习成本其实比想象中低。