抓包点位为什么重要
无线问题抓包时，在终端侧、空口侧与网络侧看到的内容完全不同：终端只看得到自己的收发；空口能看到全部管理帧与所有终端的流量；交换机镜像能看到控制器与业务转发的路径。点位选错，往往抓了一整天也拿不到关键证据。选点位的原则是「离问题现象最近」。
各点位能看到什么
| 终端本机 | 本机收发与关联日志，适合单终端问题 |
|---|---|
| 空口（监视模式） | 管理帧与全空口流量，适合 Deauth、关联与握手失败 |
| 交换机镜像 | CAPWAP 与业务转发，适合控制器与网络侧问题 |
| AP 侧抓包功能 | AP 视角的空口帧，适合远程站点与批量 AP |
| 选点原则 | 先明确想看哪一层证据，再决定在哪里抓 |
点位对比
| 点位 | 能看到 | 适用问题 |
|---|---|---|
| 终端本机 | 本机收发与关联日志 | 单终端问题 |
| 空口（监视模式） | 管理帧与全空口流量 | Deauth、关联与握手失败 |
| 交换机镜像 | CAPWAP 与业务转发 | 控制器与网络侧问题 |
| AP 侧抓包功能 | AP 视角的空口帧 | 远程站点、批量 AP |
| 控制器抓包 | 隧道内终端流量 | 集中转发模式的业务问题 |
决策速记
- 单终端异常：本机抓包与空口抓包对照，判断问题在终端还是空口
- 多终端或疑似攻击：多点空口抓包，交叉比对源地址与信号强度
- 认证类问题：终端侧加控制器侧，把 EAPOL 与服务器日志对齐
- 网络侧资源问题：交换机镜像加控制器抓包，看转发路径
- 远程站点：优先用 AP 内置的远程抓包功能，减少往返现场
操作要点
操作要点
# 空口抓包需要监听模式并锁定信道
# 未锁信道时跳频会导致丢帧，结论出错
# 决策速记
# 单终端：本机 + 空口对照
# 多终端 / 疑似攻击：空口多点
# 网络侧资源：交换机镜像 + 控制器抓包先在「最接近问题现象」的位置抓：终端连不上先在空口看，网关不通先在交换机侧看。位置对了，数据量少而有效；位置错了，文件很大却没有答案。
空口抓包不锁定信道是最常见的操作失误：网卡跟着跳频，管理帧丢一大半，统计出的数量与时序都不可信。