| 用途 | 区分两类过滤器的使用场景 |
|---|---|
| 捕获过滤器 | BPF 语法，如 port 443；见抓包选项对话框 |
对比
| 维度 | 捕获过滤器 | 显示过滤器 |
|---|---|---|
| 语法 | BPF（port 443） | 字段表达式（tcp.port == 443） |
| 作用时机 | 抓取时丢弃不匹配报文 | 显示时隐藏不匹配报文 |
| 不可逆性 | 丢弃后无法恢复 | 随时改条件切换 |
使用建议
使用建议
高流量口：先用捕获过滤器限流（如只抓某主机）
分析阶段：全部用显示过滤器反复切片
不确定时：宁抓全量后过滤，避免丢证据（注意磁盘）远程抓包用捕获过滤器省带宽；本地分析用显示过滤器保灵活。