第 24 篇：过滤器：从海量数据中找线索

抓包实战系列第 4 篇。

上一篇我们讲了如何抓到“正确”的包：位置、接口、时间、过滤条件都要选对。今天继续深入过滤器。真实环境里的包太多，过滤器就是筛子。筛子用得好，线索浮出来；筛子用错了，线索也会被你亲手筛掉。

开场：包太多，比没包还可怕

抓包时最尴尬的情况有两种。

第一种是：

没抓到包。

第二种是：

抓到了太多包。

没抓到包，至少问题很明确：

位置不对、接口不对、时间不对、流量没经过。

但抓到太多包，就很折磨。

你打开 pcap。

几十万行。

DNS、TCP、TLS、ARP、ICMP、广播、容器流量、健康检查、监控探针混在一起。

每一行都像在喊：

看我！我有可能是线索！

这时如果没有过滤器，你就只能靠肉眼扫。

肉眼扫包这种事，听起来很敬业。

实际上很像拿牙签清理整条高速公路。

先给结论：

过滤器的作用，是从大量数据包中筛出和问题相关的流量，让分析范围从“海量”变成“可理解”。