Ubuntu 虚拟机中使用 Dumpcap 的完整指南
一 环境准备与权限配置
sudo apt update && sudo apt install wireshark。安装过程中会出现是否允许非 root 捕获的提示,按需选择。完成后用 dumpcap --version 验证。sudo usermod -aG wireshark $USER,然后注销并重新登录使组生效。sudo setcap 'CAP_NET_RAW+eip CAP_NET_ADMIN+eip' /usr/bin/dumpcap(路径可能为 /usr/sbin/dumpcap,可用 which dumpcap 确认)。二 基本捕获与常用命令
ip a 或 dumpcap -D 列出可用接口(如 eth0、ens33、any)。sudo dumpcap -i eth0 -w capture.pcap。sudo dumpcap -i eth0 -c 100 -w capture.pcap(仅捕获前 100 个包)。sudo dumpcap -i eth0 -f "tcp" -w tcp_only.pcapsudo dumpcap -i eth0 -f "tcp port 80" -w http.pcapsudo dumpcap -i eth0 -f "host 192.168.1.100" -w ip.pcapsudo dumpcap -i eth0 -w cap.pcap -C 100 -W 10sudo dumpcap -i any -w /tmp/cap-%H-%M-%S.pcap -G 60 -W 10sudo dumpcap -i eth0 -lsudo dumpcap -i eth0 -n -N -w capture.pcapsudo dumpcap -r capture.pcap三 虚拟机场景的捕获范围与建议
sudo dumpcap -i lo -w vm_internal.pcap)。四 常见问题与排查
setcap;执行 groups $USER 检查组成员,必要时重新登录。ip a 确认实际接口名(如 eth0 → enp0s3),再替换命令中的接口。五 分析抓包文件
wireshark /path/to/file.pcap。http.response.code == 404ip.addr == 192.168.1.100icmp