在 Wireshark 中抓取虚拟机（192.168.1.149）的网络流量，需要正确选择网卡并设置过滤条件。以下是详细步骤：
1. 选择正确的网络接口
物理机抓包（如果虚拟机使用 NAT/桥接模式）：
- 打开 Wireshark，选择与虚拟机通信的物理网卡（如
以太网、Wi-Fi）。 - 如果是桥接模式：虚拟机的流量会直接通过物理网卡。
- 如果是 NAT 模式：可能需要抓取虚拟网络适配器（如
VMware Virtual Ethernet Adapter）。
- 打开 Wireshark，选择与虚拟机通信的物理网卡（如
虚拟机内直接抓包：
- 在虚拟机内部运行 Wireshark，直接选择虚拟网卡（如
eth0）。
- 在虚拟机内部运行 Wireshark，直接选择虚拟网卡（如
2. 设置过滤条件
在 Wireshark 的过滤栏中输入以下表达式，只显示目标或源 IP 为 192.168.1.149 的包：
ip.addr == 192.168.1.149
或更具体的过滤：
- 仅抓取来自虚拟机的流量：
ip.src == 192.168.1.149 - 仅抓取发送到虚拟机的流量：
ip.dst == 192.168.1.149
3. NAT/桥接模式注意事项
(1) NAT模式下的限制
- 默认情况下：主机和虚拟机之间的通信可能不会经过物理网卡，而是通过虚拟网络适配器。
- 解决方法：
1️⃣ 抓取虚拟交换机流量
- Windows: 选择
vEthernet (Default Switch)（Hyper-V）或VMnet8（VMware）。
- Linux: 选择
virbr0（KVM）或对应的虚拟接口。
- Windows: 选择
2️⃣ 关闭NAT防火墙干扰
某些虚拟机软件会过滤ICMP/ARP等协议，临时关闭防火墙测试：
```bash
# VMware示例
sudo iptables -t nat -F
```
(2) Bridge模式配置验证
确保虚拟机IP (192.168.1.149)与主机在同一子网：
# Windows主机检查ARP表
arp -a | findstr "192.168.1"
# Linux主机检查邻居表
ip neigh | grep "192\.168\.1\.149"
4.Promiscuous Mode（混杂模式）
如果仍无法捕获目标流量，尝试启用混杂模式：
- Wireshark → Capture Options → ✔ Enable promiscuous mode.
- VMware需在虚拟网络编辑器中开启混杂模式。
5.TCP/UDP特定协议分析
例如，只监控HTTP请求：
ip.addr == 192.168.1.149 and tcp port80
或SSH连接：
ip.addr ==192 .168 .1149 and tcp port22
常见问题排查
| 问题现象 | 可能原因 | 解决方案 |
|---|---|---|
| 看不到任何数据包 | 选错网卡 | 重新确认是物理接口还是虚拟接口 |
| 只有ARP没有TCP/UDP | 防火墙拦截 | 关闭主机/虚拟机防火墙测试 |
| 目标IP不响应Ping | ICMP被禁用 | 改用Telnet/nmap测试端口连通性 |
如果需要进一步分析某个具体协议（如DHCP/DNS），请提供更多细节！
内容由零声教学AI助手提供，问题来源于学员提问
