Как установить Wireshark и записать сетевой трафик на Windows

Инструкция написана для Windows 11, в Windows 10 всё делается так же. Нужны права администратора: программа ставит драйвер, без которого записывать трафик нельзя. Записывать будем обмен своего компьютера — этого достаточно почти для любой домашней задачи и не нарушает чужих прав.

Скачайте установщик с официального сайта

Откройте сайт wireshark.org и перейдите в раздел загрузок. Для обычного современного компьютера подойдёт установщик для Windows на 64 бита; для ноутбуков на процессорах ARM есть отдельная сборка. Рядом лежит версия, которая работает с флешки без установки, но драйвер захвата ей всё равно понадобится.

Установите программу вместе с драйвером захвата

Запустите скачанный файл и разрешите ему вносить изменения. Установщик проведёт по нескольким экранам: лицензия, набор компонентов, ярлыки. Набор компонентов менять не нужно — по умолчанию ставятся и программа с окном, и консольные утилиты.

На отдельном экране установщик предложит поставить драйвер захвата пакетов. Оставьте галочку: без драйвера список сетевых адаптеров в программе будет пустым. Если драйвер уже стоит от другой программы, установщик сообщит об этом и предложит оставить его как есть.

• Драйвер захвата — обязателен, галочку оставьте.
• Разрешение записи обычным пользователям — удобно, если за компьютером работает учётная запись без прав администратора.
• Компонент для записи обмена с USB-устройствами — нужен редко, его можно не ставить.

После установки перезагрузите компьютер. Драйвер подхватывается только после перезагрузки, и это самая частая причина пустого списка адаптеров у новичков.

Выберите сетевой адаптер

Откройте Wireshark. На первом экране будет список интерфейсов: Wi-Fi, кабельное подключение, виртуальные адаптеры программ виртуализации. Напротив каждого рисуется график активности. Выбирайте тот, у которого линия живая: через него и идёт ваш интернет.

Запишите обмен

Дважды щёлкните по нужному адаптеру — запись начнётся сразу, и строки побегут вниз. Теперь воспроизведите то, что хотите разобрать: откройте сайт, который не грузится, запустите программу, которая не подключается к серверу, включите умное устройство.

Как только нужное действие выполнено, остановите запись кнопкой с красным квадратом на панели инструментов. Чем короче запись, тем проще в ней разбираться: тридцати секунд обычно хватает, а за десять минут наберутся десятки тысяч строк.

Отфильтруйте нужное

В строку фильтра над таблицей введите выражение и нажмите ввод. Фильтр не удаляет пакеты из записи, а только прячет лишние, поэтому менять его можно сколько угодно раз.

• dns — какие имена компьютер спрашивал у сервера имён. Полезно, чтобы увидеть, к каким сайтам обращается программа.
• http — обращения к сайтам по незащищённому протоколу вместе с кодами ответов.
• tcp.flags.reset == 1 — соединения, которые сервер или сеть оборвали.
• ip.addr == 192.168.1.1 — весь обмен с одним устройством, например с роутером.

Чтобы прочитать переписку клиента и сервера подряд, щёлкните по строке правой кнопкой и выберите следование за потоком TCP. Программа склеит пакеты в одно окно с текстом.

Посмотрите статистику

В меню статистики есть два отчёта, с которых стоит начинать разбор. Иерархия протоколов показывает, чем вообще занята запись: если почти всё место занял один протокол, искать нужно там. Список соединений показывает пары адресов и объём обмена между ними — так находят устройство, которое неожиданно много передаёт.

Сохраните запись

Сохраните запись в файл через меню файла. Формат pcapng подойдёт для любых дальнейших разборов и откроется на другом компьютере и в другой системе. Такой файл можно приложить к обращению в поддержку провайдера или производителя оборудования.

Если что-то пошло не так