1. 安装Wireshark套件（含Dumpcap）
在Debian系统上，Dumpcap是Wireshark的核心命令行工具，需通过安装Wireshark套件获取。打开终端，执行以下命令更新包列表并安装Wireshark：
sudo apt update
sudo apt install wireshark
安装过程中，系统会提示是否安装wireshark-common和wireshark-cli，选择“是”以保留命令行工具。
2. 配置Dumpcap捕获权限
Dumpcap默认需要root权限才能访问网络接口。为避免每次使用sudo，可将当前用户加入wireshark组（推荐）：
sudo usermod -aG wireshark $USER
执行后注销并重新登录，使组权限生效。此时可直接用dumpcap命令捕获流量（无需sudo）。
3. 使用Dumpcap捕获流量并保存为文件
通过dumpcap命令捕获流量，并保存为Wireshark支持的.pcap格式（后续用于可视化分析）。常用参数说明：
-i：指定捕获接口（如any表示所有接口，eth0表示有线接口）；-w：指定输出文件路径（如capture.pcap）；-c：限制捕获的数据包数量（如-c 100捕获100个包后停止）；-F：指定文件格式（如json格式便于后续处理）。示例命令：
eth0接口的所有流量，保存到capture.pcap（默认无限捕获，按Ctrl+C停止）：dumpcap -i eth0 -w capture.pcap
eth0接口的HTTP流量（端口80），保存100个包到http_traffic.pcap：dumpcap -i eth0 -Y "tcp port 80" -c 100 -w http_traffic.pcap
dumpcap -i eth0 -l
4. 用Wireshark可视化分析捕获的流量
捕获完成后，使用Wireshark的图形界面打开.pcap文件，实现流量可视化：
wireshark capture.pcap
常用可视化功能：
.pcap文件后，Wireshark会实时显示数据包的收发情况（如源/目的IP、端口、协议）。http过滤HTTP流量，ip.addr == 192.168.1.100过滤特定主机的流量），缩小分析范围。注意事项
dumpcap可能占用大量磁盘空间（建议限制-c参数或定期清理.pcap文件）。