ip 雷达类工具抓包，本质就是在网卡层面开启混杂模式，捕获经过网卡的以太网数据包，提取数据包里面的源 ip，目的 ip，协议类型，端口，会话信息，实现局域网主机探测，流量识别，ip 会话监控，它和 wireshark 这类专业抓包工具思路接近，但是 ip 雷达偏向轻量化，重点展示在线 ip 列表、活跃连接、主机在线探测，不会像专业抓包工具完整保存全部原始报文，抓包的前提是网卡可以接收到目标主机的流量，如果是普通交换机环境，默认只能抓到本机收发广播组播以及本机相关单播流量，想要捕获跨主机之间的通讯，需要开启交换机端口镜像，或者把网卡接入镜像口，也可以使用 arp 欺骗方式获取跨主机流量，但是 arp 欺骗属于侵入式操作，在未授权网络里面使用属于违规，这点必须重点留意，抓包之前还要确认操作系统权限，windows 需要管理员权限，linux 需要 root 权限，否则网卡混杂模式无法正常开启。
抓包核心原理
网卡默认只接收目的 mac 是本机的数据包，混杂模式开启之后，网卡会把链路上所有经过的数据包都上交上层程序，ip 雷达读取这些数据包，解析 ip 头部，提取源 ip 目的 ip，识别 tcp udp icmp 协议，统计在线主机，建立 ip 会话表，还可以识别 ping 探测，http 连接，dns 请求等常见流量。
二层交换机存在 mac 地址表，单播流量只会转发到目标端口，所以普通环境下，ip 雷达不能直接抓到局域网其他电脑之间的通讯包，这是很多人使用 ip 雷达抓包最常见的认知误区。
准备工作
1 获取管理员或者 root 权限，windows 右键程序选择以管理员身份运行，linux 终端切换 root 用户。
2 确认网卡类型，区分有线网卡和无线网卡，无线网卡抓包能力有限，很多无线网卡不支持完整混杂模式，无线环境抓包还涉及信道锁定，加密报文解密问题。
3 明确抓包目的，是探测局域网在线 ip，还是分析主机之间通讯流量，提前确认网络环境，交换机是否支持端口镜像。
4 确认合规授权，仅可以在自己拥有管理权的内网开展抓包操作。
ip 雷达抓包操作流程
1 启动 ip 雷达软件，选择正确的监听网卡，也就是当前接入局域网的物理网卡。
2 开启混杂模式，启动抓包监听，软件开始捕获链路上数据包。
3 设置过滤规则，可以按 ip 段，协议，端口过滤，减少无关数据包干扰，比如只监控 192.168.1.0 网段，只抓取 tcp 流量。
4 软件实时解析报文，展示在线 ip，mac 地址，会话连接，流量统计。
5 抓包结束之后停止监听，部分版本支持导出抓包记录，保存 ip 会话日志。
跨主机抓包两种方案对比
| 方案 | 原理 | 特点 | 合规要求 |
|---|---|---|---|
| 交换机端口镜像 | 交换机把指定端口流量复制到镜像口 | 稳定，无侵入，推荐企业运维 | 需要交换机管理权限 |
| arp 欺骗抓包 | 伪造 arp 应答，让目标主机把流量转发到本机 | 不需要交换机配置，但是会影响网络 | 必须获得网络所有者授权 |
抓包之后解析要点
解析数据包的时候重点看 ip 头部字段，源 ip，目的 ip，ttl，协议号，tcp 报文还可以看到源端口目的端口，标志位 syn ack fin，dns 包可以看到域名查询请求，icmp 就是 ping 探测报文，ip 雷达一般只做摘要展示，如果需要完整原始报文，需要搭配 wireshark 同步抓包。
常见故障排查
1 开启抓包之后没有任何 ip 数据，大概率是选错监听网卡，或者权限不足，混杂模式启动失败。
2 只能看到本机流量，看不到其他主机，是普通交换机单播隔离，需要端口镜像。
3 无线网卡抓包不全，无线网卡硬件限制，或者 wifi 加密，数据包无法解析明文内容。
4 抓包之后大量乱码，加密 https 流量只能看到 ip 和端口，应用层内容是加密的，无法直接读取明文。
ip 雷达怎么抓包，核心就是开启网卡混杂模式解析 ip 报文，普通环境只能抓到本机广播流量，跨主机流量必须依靠端口镜像或者 arp 欺骗，操作必须取得授权，https 加密流量无法解密应用层内容，抓包前确认网卡和权限，按需设置过滤规则，只做合法内网运维探测。
【常见问题】
问题 1 ip 雷达怎么抓包，为什么抓不到别的电脑流量
回答 1 ip 雷达怎么抓包抓不到别的电脑流量，是普通二层交换机单播流量隔离，ip 雷达怎么抓包需要交换机端口镜像，或者经过授权的 arp 欺骗，才能捕获跨主机通讯报文。
问题 2 ip 雷达怎么抓包，需要管理员权限吗
回答 2 ip 雷达怎么抓包必须管理员或者 root 权限，没有权限无法开启网卡混杂模式，ip 雷达怎么抓包启动的时候建议右键管理员运行。
问题 3 ip 雷达怎么抓包，可以看到 https 里面的明文内容吗
回答 3 ip 雷达怎么抓包只能解析 ip 层和 tcp 层头部，https 是加密传输，ip 雷达怎么抓包无法直接读取应用层明文，只能看到源 ip 目的 ip 和端口信息。
问题 4 ip 雷达怎么抓包，无线网卡可以正常抓包吗
回答 4 ip 雷达怎么抓包，无线网卡支持有限，部分无线网卡不支持混杂模式，加密 wifi 报文还需要密钥才能解密，ip 雷达怎么抓包优先推荐使用有线网卡监听。
【免责申明】
本文内容仅作为 ip 雷达怎么抓包技术知识科普参考，抓包、arp 欺骗、流量探测等操作必须在本人拥有合法管理权限的网络内进行，未经授权捕获他人网络流量属于违法行为，严禁用于非法监控、窃取数据，因违规操作产生法律责任，本文不承担相关责任。