为什么需要关注内网数据包
家里或办公室的网络突然变慢，手机连不上Wi-Fi，或者发现某台设备一直在“偷偷”传数据？这些问题光看路由器界面往往查不出原因。这时候就得深入一点，看看内网到底在发生什么——数据包才是真相的来源。
比如你家孩子晚上打游戏卡顿，你以为是宽带问题，结果一抓包发现，原来是NAS在后台自动同步备份，占满了带宽。这种情况，只有通过分析内网数据包才能一眼识破。
常见的内网抓包工具
说到抓包，很多人第一反应就是Wireshark。这确实是桌面端最强大的工具之一，支持Windows、macOS和Linux。安装后选择正确的网卡，点开始就能看到所有经过本机的流量。
假设你想查公司打印机是不是在乱发请求，打开Wireshark，过滤目标IP为打印机地址，很快就能看到它每隔几分钟就向某个外部域名发DNS查询——这显然不正常。
如果是Linux服务器环境，命令行工具更实用。tcpdump就是个好选择，轻量又高效。比如想监听某台电脑（192.168.1.100）的所有HTTP通信，可以这样执行：
tcpdump -i any host 192.168.1.100 and port 80输出结果会实时显示源地址、目标地址、协议类型和数据大小，适合快速定位异常连接。
如何部署镜像端口做集中监控
单台设备抓包只能看到局部，想要全面掌握整个局域网的情况，就得用镜像端口（Port Mirroring）。大多数企业级交换机都支持这个功能。
比如你在公司用的是TP-Link商用交换机，在管理界面里找到“端口镜像”设置，把前台收银机、财务电脑这些关键设备所在的端口设为源端口，再指定一个连接笔记本的端口作为目标端口。这样所有流量都会复制一份送到你的分析机器上。
然后在这台笔记本上运行Wireshark，就能看到全网的数据流动情况。一旦发现某个IP频繁连接可疑域名，立刻就能响应。
识别异常行为的实际案例
有次朋友说家里网络白天还好，晚上九点以后就断断续续。我去他家看了下路由器日志没发现异常，于是接上笔记本抓包。过滤ARP协议时，发现有个陌生MAC地址不断发送ARP应答，声称自己是网关。
这就是典型的ARP欺骗攻击。进一步查MAC前缀，发现是个小米智能家居设备被蹭网者用来做中间人。换掉设备并改密后问题消失。
另一个例子是公司测试服务器莫名上传大量数据。用tcpdump抓包后发现，进程列表里没有对应程序。最后通过netstat结合抓包分析，锁定是一个被植入的挖矿脚本在利用ICMP隧道外传信息。
轻量替代方案：旁路监听也能奏效
不是每家企业都有可管理交换机，家庭用户更难配置镜像端口。这时可以用“旁路监听”法：把一台旧电脑或树莓派接入同一个局域网，开启混杂模式监听。
在树莓派上装好Debian系统，执行以下命令启用监听：
ip link set eth0 promisc on再配合tshark（Wireshark的命令行版）记录流量：
tshark -f \"ip and not arp\" -w /tmp/capture.pcap -c 1000生成的pcap文件可以拖到桌面Wireshark里详细分析，成本低且足够应对多数排查场景。
隐私与合规提醒
虽然技术上能监听所有内网通信，但实际操作必须遵守法律边界。公司内部监控应提前告知员工，家庭环境也尽量避免扫描他人手机等敏感设备。HTTPS加密内容本身无法解密，也不建议尝试破解。
重点不是窥探内容，而是判断行为是否异常。比如某设备每分钟发起上百次DNS请求，或持续连接国外IP，这类模式比具体内容更有价值。