第 24 篇：过滤器：从海量数据中找线索

抓包实战系列第 4 篇。上一篇我们讲了如何抓到“正确”的包：位置、接口、时间、过滤条件都要选对。今天继续深入过滤器。真实环境里的包太多，过滤器就是筛子。筛子用得好，线索浮出来；筛子用错了，线索也会被你亲手筛掉。开场：包太多，比没包还可怕抓包时最尴尬的情况有两种。第一种是：没抓到包。第二种是：抓到了太多包。没抓到包，至少问题很明确：位置不对、接口不对、时间不对、流量没经过。但抓到太多包，就很折磨。你打开 pcap。几十万行。DNS、TCP、TLS、ARP、ICMP、广播、容器流量、健康检查、监控探针混在一起。每一行都像在喊：看我！我有可能是线索！这时如果没有过滤器，你就只能靠肉眼扫。肉眼扫包这种事，听起来很敬业。实际上很像拿牙签清理整条高速公路。先给结论：过滤器的作用，是从大量数据包中筛出和问题相关的流量，让分析范围从“海量”变成“可理解”。