抓包数据如果不保存，后续排查就只能靠记忆了。

无论是分析网络延迟、定位HTTP接口异常，还是复现HTTPS握手失败，关键流量都得存下来反复比对，或者发给同事协查——光靠实时窗口看一眼，远远不够。

保存时格式要选对。手动保存用.pcapng，导出过滤结果用Export Specified Packets。

支持选中、标记、编号范围三种导出方式。长时间监控则需配置环形缓冲区自动分片。下面逐一拆解。

手动保存全部或部分抓包数据

停止抓包之后，点击菜单栏File > Save As，弹出保存对话框。

在“文件名”栏输入路径和名字，比如 C:netloglogin_test.pcapng。

务必选择 .pcapng 格式——它能保留接口名、时间戳精度、注释等关键元数据，.pcap 会丢失这些信息。点“保存”就行。

如果只需要导出当前界面显示的过滤结果（比如已经用 http contains "error" 过滤过的报文），那就用File > Export Specified Packets，勾选 All packets + Displayed，再点 Save。

按需导出特定数据包组合

方法一：只导出手动选中的那几个包

按住 Ctrl 或 Shift 多选数据包。然后 File > Export Specified Packets，选择 Selected packet，指定保存路径即可。

方法二：导出所有打过标记的数据包

右键某条包选 Mark packet toggle，行首会出现黑色星号。对其他目标包重复此操作。然后在导出窗口中选 Marked packets 保存。

这招适合跨时间段、非连续但逻辑相关的报文集合。

方法三：导出连续编号的一段数据包

比如要导出第1200到1287号包。在 Export Specified Packets 窗口勾选 Range，输入 1200-1287。

注意编号是当前视图的序号，不是原始捕获序号——如果已经过过滤，得先确认“No.”列显示的是哪一段。

长时间监控下的自动分片保存

监控时间长了，不能指望手动一个个保存。Wireshark 的环形缓冲区可以自动分片，让磁盘空间和文件大小都可控。

先打开 Capture > Options，切换到 Output 选项卡，设置下面三项：

1. 在“Output File”栏填基础路径和文件名，如 D:captureserver_monitor.pcapng；
2. 勾选“Use a ring buffer”，设置“Number of files”为 5；
3. 在“Create a new file automatically after”下拉中选“File size”，填入 200MB。

配置好之后，Wireshark 会在单个文件达到200MB时自动新建下一个，最多保留5个文件。第6个生成时会覆盖最早的那个。

磁盘空间不会无限增长，每个文件体积也容易处理，后续用命令行工具切片分析也很方便。

最后点击 Start 开始捕获，系统就会按设定自动轮转写入文件。

《夸克》非常好用的免费AI浏览器

下载APP查看