通过 SSH 采集远端流量
Wireshark 内置的 sshdump 可以通过 SSH 连接远端主机，在远端运行采集工具并把数据回传到本地，本地不必安装额外软件。代价是远端需要具备采集工具与足够权限，而且数据要经过 SSH 通道传输，带宽存在上限，高速接口仍然建议远端落盘。
基本信息
| 入口 | Wireshark 捕获选项中的 sshdump 远程接口 |
|---|---|
| 前置条件 | 远端有采集工具、SSH 可登录、权限足够 |
| 配置要素 | 主机与端口、认证方式、远端工具路径、可选远端过滤 |
| 带宽约束 | SSH 通道有速率上限 |
典型使用场景
- 在桌面端采集服务器流量，不必登录服务器手动操作
- 生产环境不便于安装采集工具时的替代方案
- 远程协助排障时快速建立采集
- 采集容器节点或边缘设备的流量
- 汇总多台主机的采集结果统一分析
配置与验证
配置与验证
# 在捕获选项里添加 sshdump 接口，填写：
# 主机与 SSH 端口、认证方式（建议密钥）、远端工具绝对路径、可选远端过滤表达式
# 命令行等价做法：先验证远端采集工具可用
ssh user@server "/usr/bin/dumpcap -D"
# 远端路径填错是最常见的连接失败原因，先手动验证再填进界面配置要素
| 配置项 | 说明 | 常见问题 |
|---|---|---|
| 主机与端口 | SSH 地址与端口 | 非默认端口时需显式填写 |
| 认证方式 | 建议使用密钥 | 口令认证常被安全策略禁用 |
| 远端工具路径 | 采集工具的绝对路径 | 路径错误直接导致启动失败 |
| 远端过滤 | 减少回传数据量 | 语法需与远端工具版本兼容 |
走 SSH 通道有带宽上限，流量大的接口采集仍建议在远端落盘，采集完成后取回文件分析。这种方式更稳，也不受本地与远端之间网络波动影响。
长会话被 SSH 闲置超时断开时会直接中断采集，注意配置保活并核对远端是否有限制。远端路径填错是最常见的失败原因，先手动验证命令能跑通再填进界面，可以省下大量来回排查。
排查顺序
- 先手动验证 SSH 登录与远端采集工具可用
- 确认远端工具路径写的是绝对路径
- 检查账号权限是否允许抓包
- 数据量大时改为远端落盘再取回文件
- 配置 SSH 保活，避免长采集被中途断开