捕获权限 ​

抓包权限的核心边界是：Wireshark 图形界面不应长期以管理员或 root 身份运行；真正需要高权限的是底层捕获组件、驱动或设备访问。安全做法是只把捕获所需的最小权限授给 dumpcap、Npcap/NPF、BPF、usbmon 或容器 capability，而不是把整个分析程序放进最高权限环境。

适用场景：解决“看不到接口”“不能开始实时捕获”“容器/虚拟机里无法混杂模式抓包”“USB 或 802.11 等特殊接口权限不足”。不要把它和抓包位置混淆；即使权限正确，如果交换机没有把目标流量送到你的接口，仍然抓不到。

先判断缺的是哪层权限 ​

总原则 ​

• 优先让 Wireshark GUI 或 TShark 以普通用户运行。
• 只给负责捕获的组件必要权限，例如 dumpcap、Npcap 驱动、BPF 设备或 usbmon 设备。
• 把可抓包用户限制到明确的本地管理员或专用组。
• 抓包权限等同于读取网络或设备上的敏感数据，应按安全权限管理。
• 特殊捕获类型可能需要额外授权，例如原始 USB、monitor mode 802.11、androiddump 等 extcap。

容器 ​

容器内运行 Wireshark 或 dumpcap 时，容器内部权限不够；宿主机也必须允许容器拥有捕获需要的 capability。Linux 容器通常需要与 Linux dumpcap 类似的 NET_RAW 和 NET_ADMIN。

为安全起见，只添加这两项 capability，而不是给容器完整特权。

Docker 示例：

--cap-add=NET_ADMIN --cap-add=NET_RAW

Docker Compose 示例：

cap_add:
  - NET_ADMIN
  - NET_RAW

Kubernetes 示例：

securityContext:
  capabilities:
    add: ["NET_ADMIN", "NET_RAW"]

Podman 示例：

--cap-add=NET_ADMIN --cap-add=NET_RAW

Podman Quadlet 示例：

AddCapability=CAP_NET_ADMIN CAP_NET_RAW

Flatpak ​

Flatpak 同时是打包机制和沙盒环境。原始页面指出，Wireshark 的 Flatpak 包不能在网络适配器上进行普通实时捕获；它可以读取已有捕获文件，并且可能通过 extcap 捕获部分流量。

如果目标是本机网卡实时抓包，应使用非 Flatpak 的安装方式，或选择符合权限需求的部署方式。

虚拟机 ​

在虚拟机内抓包时，guest 系统里的权限只是其中一层。宿主机虚拟化平台还必须允许虚拟网卡进入 promiscuous mode，并允许目标流量到达该虚拟网卡。

需要同时检查：

• guest OS 内的 Wireshark/dumpcap 权限。
• 虚拟交换机或端口组是否允许 promiscuous mode。
• 虚拟机连接的网络模式是否能看到目标流量。

Windows ​

Windows 上实时捕获依赖 Npcap 或 WinPcap 驱动（NPF）。加载驱动需要管理员权限；驱动加载后，哪些本地用户能抓包取决于驱动安装和访问限制。

Npcap 支持把驱动访问限制为仅 Administrators；WinPcap 不支持同等限制。较新 Npcap 版本会在启动时加载驱动，以避免 Windows 10 及更高版本上按需加载导致的网络连接中断问题。停止 Wireshark 不等于停止 NPF 驱动。

Windows 方案对比 ​

手动启动和停止 NPF 的原始示例：

runas /u:administrator "net start npf"
runas /u:administrator "net stop npf"

早期 Npcap 或 WinPcap 可通过命令把 NPF 服务设置为自动启动：

sc config npf start= auto

在 Vista 及以后版本执行该命令需要 Administrator 权限。

大多数 UNIX ​

Wireshark 支持 privilege separation：Wireshark GUI 或 TShark CLI 以普通用户运行，负责捕获的 dumpcap 以更高权限运行。这比让整个 Wireshark 进程以 root 运行更安全，因为 Wireshark 的大部分协议解析代码仍在普通用户权限下执行。

Linux 发行版包 ​

许多 GNU/Linux 发行版会通过包管理器配置 dumpcap，使非 root 用户可以抓包，但默认策略不同。

Linux 手动配置 dumpcap ​

如果内核和文件系统支持 file capabilities，优先给 dumpcap 设置网络 capability：

sudo setcap cap_net_raw,cap_net_admin+eip /usr/sbin/dumpcap

如果 dumpcap 位于 /usr/bin，应把路径替换为实际路径。

如果不支持 file capabilities，原始页面给出的后备方案是 setuid root：

sudo chown root /usr/sbin/dumpcap
sudo chmod u+s /usr/sbin/dumpcap

setuid root 的安全边界更粗，应优先使用 capabilities，并把可执行 dumpcap 的用户限制到专用组。

限制到 wireshark 组 ​

可用专用组限制谁能执行带捕获权限的 dumpcap：

sudo groupadd --system wireshark
sudo gpasswd -a $USER wireshark

重新登录，或使用 newgrp wireshark，再验证组成员关系。然后把 dumpcap 归属到该组并移除其他用户执行权限：

sudo chgrp wireshark /usr/sbin/dumpcap
sudo chmod o-rx /usr/sbin/dumpcap

注意：更改文件组可能会清除 file capabilities 或 setuid bits，因此需要在调整组之后重新设置相应权限。

BSD 与 macOS ​

在 BSD，包括 macOS，捕获数据包需要对 /dev/bpf* BPF 设备有读访问权限。

没有 devfs 的 BSD 上，设备文件权限通常保存在根文件系统中，修改可跨重启保留。带 devfs 的 BSD 和 macOS 上，设备文件可能在启动时重建，因此还需要通过 devfs 配置、系统 rc 文件、startup item 或 launchd launch daemon 等方式持久化权限。libpcap 0.9.1 及以后版本中的 ChmodBPF 目录提供了相关 launch daemon 示例。

Digital/Tru64 UNIX ​

原始页面指出，在 Digital/Tru64 UNIX 上，原则上任何用户都可以捕获网络流量；但要在接口上以 promiscuous mode 捕获，超级用户必须先用 pfconfig(8) 启用 promiscuous-mode operation。要捕获该机器在接口上接收或发送的 unicast traffic，还需要启用 copy-all-mode operation。

可通过调整 /dev/pfilt* 设备的所有权或权限，限制允许捕获流量的用户集合。

排查顺序 ​

1. 先确认抓包位置正确，目标流量确实会到达接口。
2. 确认 Wireshark 是否能列出接口；不能列出时优先查驱动、dumpcap 或设备权限。
3. 能列出但不能开始捕获时，查本地用户、组、capability、BPF 或 NPF 权限。
4. 容器和虚拟机要同时查宿主机层权限。
5. USB、无线 monitor mode 或 extcap 抓包，要按对应页面补充设备权限。
6. 避免长期用 Administrator/root 运行完整 Wireshark。

相关页面 ​

• CaptureSetup/Ethernet
• CaptureSetup/VLAN
• CaptureSetup/USB
• CaptureSetup/WLAN

Imported from https://wiki.wireshark.org/CaptureSetup/CapturePrivileges on 2020-08-11 23:11:50 UTC

相关 Wireshark Wiki 页面 ​

• Wireshark Wiki 首页Home · 入门与使用
• CaptureSetup/USBCaptureSetup/USB · 抓包设置
• CaptureSetup/WLANCaptureSetup/WLAN · 抓包设置
• Development/ExtcapDevelopment/Extcap · 开发与扩展
• Development/PrivilegeSeparationDevelopment/PrivilegeSeparation · 开发与扩展
• SecuritySecurity · 入门与使用
• WinPcapWinPcap · 全量归档