用Wireshark最多的场景，就是打开软件、选网卡、开始抓包，然后输入几个过滤条件找异常。
其实抓到数据包并不难，难的是判断：应该在哪里抓、抓到的现象代表什么、异常发生在哪一层，以及结论能不能被日志和其他证据验证。
这篇就按照实际排障顺序，把Wireshark从问题定义、数据采集、流量筛选、协议分析，一直讲到故障定位和结论输出。
Wireshark不只是一个排障工具，更像是一扇观察真实网络行为的窗口。传统网络排障关注的是“为什么不通”，而安全分析还会继续追问：这段通信是谁发起的？行为是否符合正常基线？异常连接是配置问题、应用故障，还是扫描、攻击和横向移动留下的痕迹？
当你能把报文、设备日志、系统日志和业务现象放在一起验证，抓包就不再只是处理网络故障，而会慢慢变成安全事件分析、入侵排查和流量取证的基础能力。
