wireshark - 捕获 Wireshark 过滤器的问题

Question

我正在尝试使用以下选项从 cli 启动 wireshark...

wireshark -k -i eth2 -a filesize:1000000 -f <capture filter>

我遇到的问题是我想使用预定义的wireshark过滤器......当我在cli cmd中使用实际过滤器运行上述过滤器时，它可以工作，当我使用预定义的过滤器时它会失败..

工作示例:

wireshark -k -i eth2 -a filesize:1000000 -f "host 40.40.41.42"

失败示例(我正在尝试使用的那个):

wireshark -k -i eth2 -a filesize:1000000 -f pre-defined-capture1

其中 pre-defined-capture1 过滤器确实显示在“Capture -> Options -> Capture Filter”列表下......

我得到的错误是过滤器无效，如果可能的话，我想指定我保存在捕获过滤器列表中的过滤器......

有任何想法吗？

Answer 1

当您选择“捕获 -> 捕获过滤器”时，您将看到一个窗口，您可以在其中定义、更改和删除捕获过滤器以供将来使用。您实际上无法从那里激活捕获过滤器。
原因之一是某些捕获过滤器可能适用于某些物理接口(interface)，而它们可能不适用于其他物理接口(interface)。这就是为什么您需要在开始捕获 session 时使用捕获选项激活捕获过滤器的原因。
转到“捕获 -> 选项”并使用“捕获过滤器”按钮选择您预定义的捕获过滤器。或者只需在对话框中键入您需要的过滤器。
如果您使用的是 1.7.0 版(或更高版本)，则需要先双击要捕获的接口(interface)，因为您可以从 1.7.0 版开始一次捕获多个接口(interface)，并且可以设置每个接口(interface)的捕获过滤器不同。
Please feel free to ask the Wireshark Community if you have got any doubts that you require more clarifications.