Wireshark filters

Hvilket filter skal du skrive? Bygg et filter fra IP, port og protokoll, eller søk i over 200 display filters, capture filters og kommandoer for tshark, dumpcap og tcpdump. Alt kan kopieres med ett klikk.

Filterbygger

Fyll inn det du vet, og få display filter, capture filter og kommandoen ferdig skrevet. Alle feltene kan stå tomme.

Retning for den første adressen
Porten gjelder
Display filter
Capture filter
tshark, ta opp
tshark, les fil
tcpdump

Filtre og kommandoer

Søk på protokoll, felt, problem eller kommando. Display skrives i filterlinja øverst i Wireshark, Capture i feltet på startsiden før du starter opptaket, og CLI i en terminal.

Type

IP-adresser og subnet

  • Displayip.addr == 192.0.2.10

    All trafikk til eller fra én IPv4-adresse.

  • Displayip.src == 192.0.2.10

    Bare pakker fra adressen (source).

  • Displayip.dst == 192.0.2.10

    Bare pakker til adressen (destination).

  • Displayip.addr == 198.51.100.0/24

    Alt til eller fra et subnet. Virker også med subnet mask skrevet som prefix.

  • Displayip.addr == 192.0.2.10 && ip.addr == 198.51.100.20

    Samtalen mellom to adresser, begge veier.

  • Displayip.addr in {192.0.2.10, 192.0.2.11, 192.0.2.12}

    Flere adresser i ett filter.

  • Display!(ip.addr == 192.0.2.10)

    Alt unntatt én adresse. Virker likt i alle versjoner (se «Vanlige feil»).

  • Displayipv6.addr == 2001:db8::1

    Én IPv6-adresse. ipv6.src og ipv6.dst virker som for IPv4.

  • Displayipv6.addr == 2001:db8::/32

    Et IPv6-prefix.

  • Displayipv6

    Bare IPv6. ip gir bare IPv4.

  • Displayip.ttl < 5

    Lav TTL: traceroute, eller pakker som går i loop.

  • Displayip.flags.mf == 1 || ip.frag_offset > 0

    Fragmenterte pakker (ofte et MTU-problem).

  • Displayip.dsfield.dscp == 46

    QoS: pakker merket EF (vanlig for tale). 0 = best effort.

  • Capturehost 192.0.2.10

    Ta bare opp trafikk til eller fra én adresse (IPv4 eller IPv6).

  • Capturesrc host 192.0.2.10

    Bare pakker fra adressen. dst host gir pakker til den.

  • Capturenet 198.51.100.0/24

    Et subnet. Adressen må være network-adressen, ikke en host i subnettet.

  • Capturehost 192.0.2.10 and host 198.51.100.20

    Bare samtalen mellom to adresser.

  • Capturenot host 192.0.2.10

    Alt unntatt én adresse.

  • Captureip6

    Bare IPv6. ip gir bare IPv4.

Porter og TCP/UDP

  • Displaytcp.port == 443

    TCP-port 443 som source eller destination.

  • Displayudp.port == 53

    UDP-port 53.

  • Displaytcp.dstport == 443

    Bare pakker mot port 443 (fra klienten). tcp.srcport gir svarene.

  • Displaytcp.port in {80, 443, 8080}

    Flere porter i ett filter.

  • Displaytcp.port in {8000..8100}

    Et portområde.

  • Displaytcp.port == 443 || udp.port == 443

    Samme port i både TCP og UDP (HTTPS og QUIC).

  • Displaytcp.stream == 4

    Én TCP-samtale. Nummeret står i TCP-delen av pakken, eller bruk Follow → TCP Stream.

  • Displayudp.stream == 2

    Én UDP-«samtale» (samme adresser og porter).

  • Captureport 443

    TCP- eller UDP-port 443.

  • Capturetcp port 443

    Bare TCP-port 443. udp port 53 for UDP.

  • Capturedst port 443

    Bare pakker mot port 443.

  • Captureport 80 or port 443

    Flere porter.

  • Captureportrange 8000-8100

    Et portområde.

  • Capturetcp[tcpflags] & (tcp-syn|tcp-fin|tcp-rst) != 0

    Bare oppkobling og nedkobling av TCP-samtaler (SYN, FIN, RST), uten data. Gir små filer over lang tid.

TCP-problemer og treghet

  • Displaytcp.analysis.flags && !tcp.analysis.window_update

    Alle TCP-problemer Wireshark har funnet. Det beste startfilteret når «nettet er tregt».

  • Displaytcp.analysis.retransmission

    Pakker som er sendt på nytt (packet loss eller treg mottaker).

  • Displaytcp.analysis.duplicate_ack

    Duplicate ACK: mottakeren mangler en pakke.

  • Displaytcp.analysis.lost_segment

    Wireshark mangler en del av strømmen: tap før capture-punktet, eller at opptaket droppet pakker.

  • Displaytcp.analysis.out_of_order

    Pakker som kommer i feil rekkefølge (flere paths, load balancing).

  • Displaytcp.analysis.zero_window

    Mottakeren er full og ber avsenderen vente. Peker ofte på en treg server eller applikasjon, ikke nettverket.

  • Displaytcp.flags.reset == 1

    RST: samtalen ble avvist eller avbrutt (lukket port, firewall, applikasjon).

  • Displaytcp.flags.syn == 1 && tcp.flags.ack == 0

    Nye oppkoblinger (SYN fra klienten).

  • Displaytcp.flags.syn == 1 && tcp.flags.ack == 1

    Svar på nye oppkoblinger (SYN/ACK fra serveren).

  • Displaytcp.flags.syn == 1 && tcp.flags.ack == 0 && tcp.analysis.retransmission

    SYN som sendes på nytt: ingen svar. Typisk firewall som dropper, feil route tilbake eller tjeneste som er nede.

  • Displaytcp.analysis.ack_rtt > 0.2

    Round trip time over 200 ms.

  • Displaytcp.time_delta > 1

    Mer enn 1 sekund stille i en samtale. Krever «Calculate conversation timestamps» i TCP-innstillingene.

  • Displaytcp.len > 0

    Bare pakker med payload (skjuler rene ACK-er).

  • Displaytcp.options.mss_val < 1460

    MSS lavere enn vanlig: tunnel eller MTU som er satt ned.

Layer 2: MAC, VLAN og ARP

  • Displayeth.addr == 00:00:5e:00:53:01

    Alt til eller fra én MAC-adresse. Skrives med kolon, bindestrek eller punktum.

  • Displayeth.src == 00:00:5e:00:53:01

    Bare frames fra MAC-adressen.

  • Displayeth.addr[0:3] == 00:00:5e

    Alle MAC-adresser fra én produsent (de tre første bytene er OUI).

  • Displayeth.dst == ff:ff:ff:ff:ff:ff

    Broadcast.

  • Displayeth.dst.ig == 1

    Broadcast og multicast (group-biten i destination MAC).

  • Displayvlan.id == 10

    Frames i VLAN 10. Ser bare tag-en hvis den er med i opptaket (se «Hvor skal du capture?»).

  • Displayvlan

    Alle frames med 802.1Q-tag.

  • Displayarp

    ARP.

  • Displayarp.opcode == 1

    ARP request («hvem har …?»). 2 er reply.

  • Displayarp.dst.proto_ipv4 == 192.0.2.1

    Hvem spør etter denne adressen (f.eks. default gateway)?

  • Displayarp.src.proto_ipv4 == 192.0.2.1

    ARP sendt fra en bestemt IP.

  • Displayarp.duplicate-address-detected

    Samme IP-adresse brukes av to MAC-adresser (IP conflict).

  • Displayarp.isgratuitous == 1

    Gratuitous ARP: en enhet melder sin egen adresse (failover, ny MAC, oppstart).

  • Captureether host 00:00:5e:00:53:01

    Ta bare opp frames til eller fra én MAC-adresse.

  • Captureether broadcast

    Bare broadcast. ether multicast gir multicast (og broadcast).

  • Capturearp

    Bare ARP.

  • Capturevlan 10

    Bare frames med tag for VLAN 10.

  • Capturevlan and host 192.0.2.10

    vlan må stå først når frames har tag. Uten det finner ikke filteret IP-adressen.

DNS

  • Displaydns

    All DNS-trafikk.

  • Displaydns.qry.name == "example.com"

    Spørringer og svar for ett navn.

  • Displaydns.qry.name contains "example"

    Alle navn som inneholder et ord.

  • Displaydns.flags.response == 0

    Bare spørringene. 1 gir svarene.

  • Displaydns.flags.rcode != 0

    Alle svar med feil.

  • Displaydns.flags.rcode == 3

    NXDOMAIN: navnet finnes ikke.

  • Displaydns.flags.rcode == 2

    SERVFAIL: DNS-serveren fikk ikke svar selv (ofte DNSSEC eller forwarder).

  • Displaydns.flags.response == 0 && !dns.response_in

    Spørringer som aldri fikk svar.

  • Displaydns.time > 0.5

    Svar som tok mer enn 500 ms.

  • Displaydns.qry.type == 28

    AAAA-spørringer. 1 = A, 5 = CNAME, 15 = MX, 16 = TXT, 33 = SRV, 65 = HTTPS.

  • Displaymdns || llmnr || nbns

    Lokale navneoppslag (mDNS, LLMNR og NetBIOS).

  • Captureport 53

    DNS over UDP og TCP.

DHCP

  • Displaydhcp

    All DHCP-trafikk (IPv4). Eldre versjoner av Wireshark kaller det bootp.

  • Displaydhcp.option.dhcp == 1

    Discover. 1 = Discover, 2 = Offer, 3 = Request, 5 = ACK, 6 = NAK, 7 = Release.

  • Displaydhcp.option.dhcp == 6

    NAK: serveren avviser adressen klienten ber om.

  • Displaydhcp.hw.mac_addr == 00:00:5e:00:53:01

    DHCP for én klient (MAC-adressen).

  • Displaydhcp.option.hostname contains "PC"

    DHCP fra klienter med et bestemt navn.

  • Displaydhcp.option.dhcp == 2 && !(dhcp.option.dhcp_server_id == 192.0.2.1)

    Offer fra en annen DHCP-server enn den riktige (rogue DHCP).

  • Displaydhcp.hops > 0

    Gikk via en DHCP relay.

  • Displaydhcpv6

    DHCPv6.

  • Captureudp port 67 or udp port 68

    DHCP (IPv4).

  • Captureudp port 546 or udp port 547

    DHCPv6.

ICMP og ICMPv6

  • Displayicmp

    All ICMP-trafikk (IPv4).

  • Displayicmp.type == 8 || icmp.type == 0

    Ping: echo request (8) og echo reply (0).

  • Displayicmp.type == 3

    Destination unreachable. Koden sier hvorfor (1 = host, 3 = port, 13 = stoppet av filter).

  • Displayicmp.type == 3 && icmp.code == 4

    Fragmentation needed: pakken er for stor og har DF satt. Klassisk MTU-problem.

  • Displayicmp.type == 11

    Time exceeded: traceroute, eller pakker i loop.

  • Displayicmpv6

    All ICMPv6-trafikk.

  • Displayicmpv6.type in {135, 136}

    Neighbor solicitation og advertisement (IPv6 sin «ARP»).

  • Displayicmpv6.type in {133, 134}

    Router solicitation og router advertisement (SLAAC, default gateway).

  • Displayicmpv6.type == 2

    Packet too big (IPv6 sin «fragmentation needed»).

  • Captureicmp

    Bare ICMP. icmp6 for ICMPv6.

  • Captureicmp[icmptype] == icmp-echo or icmp[icmptype] == icmp-echoreply

    Bare ping.

TLS, QUIC og HTTP

  • Displaytls

    All TLS-trafikk. Eldre versjoner kaller det ssl.

  • Displaytls.handshake.type == 1

    Client Hello: starten på hver TLS-samtale.

  • Displaytls.handshake.extensions_server_name == "example.com"

    TLS til et bestemt navn (SNI), selv om innholdet er kryptert.

  • Displaytls.handshake.extensions_server_name contains "example"

    SNI som inneholder et ord.

  • Displaytls.alert_message

    TLS alert: f.eks. handshake failure eller unknown CA.

  • Displaytls.handshake.type == 11

    Sertifikatet fra serveren. Synes bare med TLS 1.2 og eldre; i TLS 1.3 er det kryptert.

  • Displaytls.handshake.extensions.supported_version == 0x0304

    Klienter og servere som bruker TLS 1.3.

  • Displayquic

    QUIC (HTTP/3 over UDP 443).

  • Displayhttp

    HTTP uten kryptering.

  • Displayhttp.request

    Bare HTTP-forespørsler.

  • Displayhttp.request.method == "POST"

    Bare POST.

  • Displayhttp.response.code >= 400

    HTTP-feil (4xx og 5xx).

  • Displayhttp.host contains "example"

    HTTP til et bestemt navn.

  • Displayhttp.request.uri contains "/login"

    Forespørsler til en bestemt sti.

  • Capturetcp port 443

    HTTPS (TLS over TCP).

  • Captureudp port 443

    QUIC.

  • Capturetcp port 80

    HTTP.

802.1X, RADIUS og innlogging

  • Displayeapol

    802.1X mellom klient og switch eller access point (også WPA 4-way handshake).

  • Displayeap

    EAP, også inne i RADIUS.

  • Displayradius

    RADIUS.

  • Displayradius.code == 3

    Access-Reject. 1 = Access-Request, 2 = Access-Accept, 11 = Access-Challenge.

  • Displayradius.User_Name contains "ola"

    RADIUS for én bruker eller maskin.

  • Displaytacplus

    TACACS+.

  • Displaykerberos

    Kerberos.

  • Displaykerberos.error_code

    Kerberos-feil (f.eks. for stor klokkeforskjell eller feil passord).

  • Displayldap

    LDAP uten kryptering.

  • Displayntlmssp

    NTLM-innlogging.

  • Captureether proto 0x888e

    802.1X (EAPOL).

  • Captureudp port 1812 or udp port 1813

    RADIUS (authentication og accounting).

  • Capturetcp port 49

    TACACS+.

  • Captureport 88

    Kerberos.

  • Captureport 389 or port 636

    LDAP og LDAPS.

Routing og redundans

  • Displayospf

    OSPF.

  • Displayospf.msg == 1

    OSPF hello. 2 = DB Description, 3 = LS Request, 4 = LS Update, 5 = LS Ack.

  • Displaybgp

    BGP.

  • Displaybgp.type == 3

    BGP notification: sessionen går ned, og koden sier hvorfor. 1 = Open, 2 = Update, 4 = Keepalive.

  • Displaybgp.type == 2

    BGP update: routes som kommer eller forsvinner.

  • Displayisis

    IS-IS.

  • Displayrip

    RIP.

  • Displayvrrp

    VRRP (redundant default gateway).

  • Displaybfd

    BFD.

  • Displaypim

    PIM (multicast routing).

  • Displayigmp

    IGMP (hvem vil ha hvilken multicast-gruppe).

  • Captureip proto 89

    OSPF.

  • Capturetcp port 179

    BGP.

  • Captureisis

    IS-IS.

  • Captureip proto 112

    VRRP.

  • Captureudp port 3784 or udp port 3785

    BFD (single hop og echo).

  • Captureigmp or ip proto 103

    IGMP og PIM.

LLDP, CDP, STP og LACP

  • Displaylldp

    LLDP: hvilken enhet og port som sitter i andre enden.

  • Displaylldp.tlv.system.name contains "SW01"

    LLDP fra en bestemt switch.

  • Displaycdp

    CDP.

  • Displaystp

    Spanning Tree (STP, RSTP og MSTP).

  • Displaystp.flags.tc == 1

    Topology change: noe i Spanning Tree har endret seg, og MAC table tømmes.

  • Displaystp.root.hw == 00:00:5e:00:53:01

    BPDU-er som peker på en bestemt root bridge.

  • Displaylacp

    LACP (link aggregation).

  • Captureether proto 0x88cc

    LLDP.

  • Captureether dst 01:80:c2:00:00:00

    STP, RSTP og MSTP.

  • Captureether proto 0x8809

    LACP (og andre «slow protocols»).

Drift: NTP, SNMP, syslog og fjerntilgang

  • Displayntp

    NTP.

  • Displaysnmp

    SNMP (v1 og v2c viser community i klartekst).

  • Displaysyslog

    Syslog.

  • Displaysyslog.level <= 3

    Syslog med severity error eller verre (0–3).

  • Displaycflow

    NetFlow og IPFIX.

  • Displayssh

    SSH.

  • Displaytelnet

    Telnet (alt i klartekst).

  • Displaytftp

    TFTP (firmware, config, PXE).

  • Displaysmb2

    SMB (filserver).

  • Displaytcp.port == 3389

    RDP.

  • Captureudp port 123

    NTP.

  • Captureudp port 161 or udp port 162

    SNMP og traps.

  • Captureudp port 514

    Syslog.

  • Captureudp port 69

    TFTP.

VPN og tunneler

  • Displayisakmp

    IKE: oppsettet av IPsec (IKEv1 og IKEv2).

  • Displayisakmp.exchangetype == 34

    IKE_SA_INIT, første steg i IKEv2.

  • Displayesp

    IPsec-data (kryptert).

  • Displayudp.port == 4500

    IPsec med NAT-T.

  • Displaywg

    WireGuard.

  • Displaygre

    GRE.

  • Displayvxlan

    VXLAN.

  • Displayvxlan.vni == 10010

    Én VXLAN-VNI.

  • Captureudp port 500 or udp port 4500 or ip proto 50

    IPsec (IKE, NAT-T og ESP).

  • Captureudp port 51820

    WireGuard (vanlig port).

  • Captureip proto 47

    GRE.

  • Captureudp port 4789

    VXLAN.

Tale: SIP og RTP

  • Displaysip

    SIP (oppsett av samtaler).

  • Displaysip.Method == "INVITE"

    Nye samtaler.

  • Displaysip.Status-Code >= 400

    SIP-feil.

  • Displayrtp

    Lyden (RTP). Finner ikke Wireshark RTP, slå på rtp_udp under Analyze → Enabled Protocols.

  • Displayrtcp

    RTCP: kvalitet på samtalen (tap og jitter).

  • Captureport 5060

    SIP.

Wi-Fi (monitor mode)

  • Displaywlan.fc.type_subtype == 0x08

    Beacons fra access points.

  • Displaywlan.fc.type_subtype in {0x04, 0x05}

    Probe request og probe response.

  • Displaywlan.fc.type_subtype in {0x00, 0x01, 0x0b}

    Authentication og association: en klient kobler til.

  • Displaywlan.fc.type_subtype in {0x0a, 0x0c}

    Disassociation og deauthentication: en klient blir kastet av eller går.

  • Displaywlan.ssid == "Gjest"

    Ett SSID.

  • Displaywlan.bssid == 00:00:5e:00:53:10

    Ett access point (én radio og ett SSID).

  • Displaywlan.addr == 00:00:5e:00:53:01

    Én klient.

  • Displaywlan_radio.signal_dbm < -70

    Svakt signal (under −70 dBm).

  • Displaywlan.fc.retry == 1

    Frames sendt på nytt i lufta. Mange retries = støy, svak dekning eller interference.

  • Displayeapol && wlan.addr == 00:00:5e:00:53:01

    WPA 4-way handshake for én klient.

  • Capturenot type mgt subtype beacon

    Ta opp alt unntatt beacons (mye mindre fil).

  • Capturewlan host 00:00:5e:00:53:01

    Bare én klient.

Fjerne støy

  • Display!(arp || dns || icmp)

    Skjul ARP, DNS og ICMP.

  • Display!(stp || lldp || cdp || lacp)

    Skjul layer 2-protokoller som går hele tiden.

  • Display!(mdns || llmnr || nbns || ssdp)

    Skjul lokale «hvem er der?»-oppslag.

  • Display!(eth.dst.ig == 1)

    Skjul broadcast og multicast.

  • Display!(tcp.port == 22)

    Skjul din egen SSH-økt (3389 for RDP).

  • Capturenot port 22

    Ikke ta opp din egen SSH-økt.

  • Capturenot broadcast and not multicast

    Ikke ta opp broadcast og multicast.

  • Capturenot arp and not ether dst 01:80:c2:00:00:00

    Ikke ta opp ARP og Spanning Tree.

Tid, størrelse og innhold

  • Displayframe.len > 1500

    Større enn vanlig MTU: jumbo frames, eller offloading på PC-en du tar opp på.

  • Displayframe.time >= "2026-11-02 08:00:00" && frame.time <= "2026-11-02 08:05:00"

    Et tidsrom (lokal tid).

  • Displayframe.time_relative > 60

    Alt etter de første 60 sekundene av opptaket.

  • Displayframe.time_delta_displayed > 1

    Mer enn 1 sekund siden forrige viste pakke: finn pauser.

  • Displayframe.number >= 1000 && frame.number <= 2000

    Et utsnitt av pakkene.

  • Displayframe contains "password"

    Tekst hvor som helst i pakken. Skiller mellom store og små bokstaver.

  • Displayframe matches "(?i)password"

    Samme, uten forskjell på store og små bokstaver (regular expression).

  • Display_ws.expert

    Alle pakker Wireshark har en merknad om (Expert Information).

  • Display_ws.malformed

    Pakker Wireshark ikke klarte å tolke.

  • Capturegreater 1000

    Bare pakker større enn 1000 byte. less 128 gir små pakker.

Kommandolinje: ta opp

  • CLItshark -D

    List interfaces med nummer. dumpcap -D gjør det samme.

  • CLItshark -i eth0

    Vis pakkene direkte i terminalen. På Windows: navnet eller nummeret fra -D.

  • CLItshark -i eth0 -f "host 192.0.2.10" -w opptak.pcapng

    Ta opp med capture filter og lagre til fil.

  • CLItshark -i eth0 -a duration:300 -w opptak.pcapng

    Stopp etter 5 minutter. -c 1000 stopper etter 1000 pakker.

  • CLIdumpcap -i eth0 -b filesize:100000 -b files:10 -w ring.pcapng

    Ring buffer: 10 filer på 100 MB, den eldste slettes. For opptak over lang tid mens du venter på feilen.

  • CLIdumpcap -i eth0 -b duration:3600 -w opptak.pcapng

    Ny fil hver time.

  • CLItshark -i eth0 -s 128 -w hoder.pcapng

    Bare de første 128 byte av hver pakke: headerne uten innhold, mye mindre filer.

  • CLItshark -i eth0 -Y "dns" -T fields -e ip.src -e dns.qry.name

    Se DNS-spørringer live, én linje per spørring.

  • CLItcpdump -i eth0 -nn host 192.0.2.10 and port 443

    tcpdump: finnes på Linux og mange firewalls, load balancers og appliances. Samme filterspråk som capture filter.

  • CLItcpdump -i any -nn -w opptak.pcap 'port 53'

    Alle interfaces, lagre til fil som kan åpnes i Wireshark.

  • CLIssh admin@192.0.2.20 "tcpdump -i eth0 -U -s0 -w - 'not port 22'" | wireshark -k -i -

    Ta opp på en Linux-maskin over SSH og se det live i Wireshark på din egen PC.

Kommandolinje: les og analyser filer

  • CLItshark -r opptak.pcapng -Y "dns.flags.rcode != 0"

    Les en fil med display filter.

  • CLItshark -r opptak.pcapng -Y "ip.addr == 192.0.2.10" -w utvalg.pcapng

    Lagre bare pakkene som passer filteret i en ny fil.

  • CLItshark -r opptak.pcapng -q -z conv,ip

    Samtaler: hvem snakker med hvem, og hvor mye. conv,tcp per TCP-samtale.

  • CLItshark -r opptak.pcapng -q -z endpoints,ip

    Alle adresser med pakker og byte.

  • CLItshark -r opptak.pcapng -q -z io,phs

    Protocol hierarchy: hvilke protokoller som er i filen.

  • CLItshark -r opptak.pcapng -q -z expert

    Expert Information: alle problemer Wireshark har funnet.

  • CLItshark -r opptak.pcapng -q -z io,stat,1

    Pakker og byte per sekund.

  • CLItshark -r opptak.pcapng -q -z follow,tcp,ascii,4

    Innholdet i TCP-samtale nr. 4 (Follow TCP Stream).

  • CLItshark -r opptak.pcapng -T fields -E header=y -E separator=, -e frame.time -e ip.src -e ip.dst -e tcp.dstport > ut.csv

    Valgte felt som CSV, for Excel.

  • CLItshark -r opptak.pcapng -Y "tls.handshake.type == 1" -T fields -e tls.handshake.extensions_server_name | sort | uniq -c | sort -rn

    Hvilke navn klientene går til over TLS, mest brukt først.

  • CLItshark -G fields | grep dns.qry

    Finn feltnavn til display filters.

  • CLIcapinfos opptak.pcapng

    Varighet, antall pakker og størrelse på en fil.

Kommandolinje: del opp, slå sammen og klipp

  • CLIeditcap -c 100000 stor.pcapng del.pcapng

    Del en stor fil i filer på 100 000 pakker.

  • CLIeditcap -i 60 stor.pcapng del.pcapng

    Én fil per minutt.

  • CLIeditcap -A "2026-11-02 08:00:00" -B "2026-11-02 08:05:00" stor.pcapng utsnitt.pcapng

    Klipp ut et tidsrom.

  • CLIeditcap -D 100 inn.pcapng ut.pcapng

    Fjern duplikater (vanlig når port mirroring tar med begge retninger fra flere porter).

  • CLIeditcap -s 96 inn.pcapng ut.pcapng

    Kutt payload før du deler filen med andre: headerne blir, innholdet forsvinner.

  • CLImergecap -w samlet.pcapng a.pcapng b.pcapng

    Slå sammen filer i riktig tidsrekkefølge.

  • CLIeditcap -F pcap inn.pcapng ut.pcap

    Gjør om til eldre pcap for verktøy som ikke leser pcapng.

Display filter eller capture filter?

Wireshark har to filterspråk som ser like ut, men ikke er det. Det vanligste rådet: ta opp bredt, og bruk display filter etterpå. Det du ikke tok opp, kan du ikke se på.

Hva du vil seDisplay filterCapture filter
HvorFilterlinja over pakkelistaStartsiden, før opptaket (Capture → Options)
NårEtter opptaket, kan endres hele tidenBestemmer hva som lagres. Kan ikke endres etterpå
SpråkWireshark sine feltnavnBPF, samme som tcpdump
Eksempelip.addr == 192.0.2.10 && tcp.port == 443host 192.0.2.10 and port 443
KanAlle felt i alle protokoller: DNS-navn, TLS SNI, TCP-problemer, HTTP-koderAdresser, porter, protokollnummer og byte på faste plasser
Brukes nårDu skal finne noe i et opptakDet er så mye trafikk at filen blir for stor, eller du tar opp over lang tid

Syntaks i display filters

SkrivEllerBetyrEksempel
==eqEr liktcp.port == 443
!=neEr ikke likdns.flags.rcode != 0
> >= < <=gt ge lt leStørre og mindre ennframe.len > 1500
&&andBegge må stemmeip.addr == 192.0.2.10 && dns
||orÉn av dem må stemmearp || icmp
!notIkke!(tcp.port == 22)
in {…}En av verdiene, også områdertcp.port in {80, 443, 8000..8100}
containsInneholder tekst eller bytehttp.host contains "example"
matches~Regular expressiondns.qry.name matches "(?i)^www"
feltFeltet finnes i pakkentls.alert_message
[a:b]Bare noen byte av feltet (start:lengde)eth.src[0:3] == 00:00:5e
( )Grupper, akkurat som i matte(dns || dhcp) && ip.src == 192.0.2.10

Capture filters (BPF)

Hvor skal du capture?

Wireshark ser bare trafikken som faktisk kommer fram til interfacet du tar opp på. En switch sender unicast bare til porten der mottakeren sitter, så å plugge en PC inn i en ledig port gir deg nesten bare broadcast og multicast.

Din egen PC
Trafikken til og fra PC-en, pluss broadcast og multicast i VLAN-et. Nok når problemet er på din egen maskin.
Port mirroring
Switchen kopierer trafikken fra én eller flere porter eller VLAN-er til porten der du tar opp. Velg begge retninger. Speiler du en 10G-uplink til en 1G-port, mister du pakker når det er travelt.
TAP
En liten boks som settes inn i kabelen og kopierer alt, også feil-frames. Mest pålitelig, men linken må tas ned for å sette den inn.
På enheten
De fleste firewalls, routers, load balancers og servere kan ta opp selv og lagre en pcap-fil. Ofte med tcpdump eller en egen packet capture-funksjon. Raskest når du ikke er på stedet.
Wi-Fi
For å se andres trafikk og management frames må nettverkskortet være i monitor mode på riktig kanal. Ellers ser du bare din egen trafikk, som vanlig Ethernet.
Begge sider
Ta opp på begge sider av en firewall eller tunnel samtidig. Da ser du om pakken kom inn, men ikke ut, og hvor den forsvant.

Ting som lurer deg i opptaket

Nyttig i Wireshark

Apply as Filter
Høyreklikk et felt eller en kolonne og velg Apply as Filter eller Prepare as Filter. Raskeste måten å lære feltnavn på.
Follow Stream
Høyreklikk en pakke → Follow → TCP Stream (eller UDP, TLS, HTTP) viser hele samtalen som tekst og setter tcp.stream-filteret for deg.
Conversations
Statistics → Conversations viser hvem som snakker med hvem, og hvor mye. Sorter på byte for å finne det som tar båndbredden.
Expert Information
Analyze → Expert Information samler retransmissions, resets, zero window og andre problemer på ett sted.
Tid mellom pakker
View → Time Display Format → Seconds Since Previous Displayed Packet gjør det lett å se hvor tiden går, f.eks. hvor lenge serveren bruker på å svare.
Decode As
Tjenester på uvanlige porter vises som rene TCP- eller UDP-data. Høyreklikk → Decode As og velg protokollen.
Lese TLS
Sett miljøvariabelen SSLKEYLOGFILE til en fil før du starter nettleseren, og pek på samme fil under Preferences → Protocols → TLS. Da kan Wireshark dekryptere trafikken fra din egen nettleser.
Profiles
Lag egne profiler (Edit → Configuration Profiles) med kolonner og filterknapper for f.eks. Wi-Fi, tale eller TCP-feilsøking.

Vanlige feil