当编译并安装好Wireshark后，就可以执行“Wireshark”命令来启动Wireshark。在用Wireshark截获数据包之前，应该为其设置相应的过滤规则，可以只捕获感兴趣的数据包。Wireshark使用与Tcpdump相似的过滤规则，并且可以很方便地存储已经设置好的过滤规则。
Wireshark界面结构
该工具提供一个强健的GUI界面，用来整理网络数据的捕获以及随后的网络通信浏览。主窗口包括一组菜单项，界面结构如图1。许多菜单从名字上看一目了然，这里不再阐述。第一个面板包含所有捕获报文的摘要。该面板包含报文号、时间戳、源、目的、协议以及信息域。这些域是可定制的，并且用户可删掉或加入其他的报文字段信息。
图1 Wireshark界面结构
1. 控制面板和主菜单；
2. 报文摘要窗口；
3. 报文细节窗口；
4. 过滤器。
1. 设置Wireshark的过滤规则
在用Wireshark截获数据包之前，应该为其设置相应的过滤规则，可以只捕获感兴趣的数据包。Wireshark使用与Tcpdump相似的过滤规则，并且可以很方便地存储已经设置好的过滤规则。要为Wireshark配置过滤规则，首先单击“Capture”选单，然后选择“Capture Filters...”菜单项，打开“Wireshark ：Capture Filter”对话框。因为此时还没有添加任何过滤规则，因而该对话框右侧的列表框是空的(如图2所示)。在Wireshark中添加过滤器时，需要为该过滤器指定名字及规则。例如，要在主机192.168.0.3和192.168.0.11间创建过滤器，可以在“Filter name”编辑框内输入过滤器名字“cao”，在“Filter string”编辑框内输入过滤规则“host 192.168.0.3 and 192.168.0.11”，然后单击“新建”按钮即可。
图2 为Wireshark添加一个过滤器
在Wireshark中使用的过滤规则和Tcpdump几乎完全一致，这是因为两者都基于pcap库的缘故。Wireshark能够同时维护很多个过滤器。网络管理员可以根据实际需要选用不同的过滤器，这在很多情况下是非常有用的。例如，一个过滤器可能用于截获两个主机间的数据包，而另一个则可能用于截获ICMP包来诊断网络故障。单击“保存”按钮，会到对话框。单击“关闭”按钮完成设置。
