Wireshark là gì? Hướng dẫn sử dụng và các tính năng quan trọng

Với hơn 20 triệu lượt tải mỗi năm, Wireshark là công cụ quen thuộc giúp quản trị viên kiểm tra lưu lượng và chẩn đoán sự cố mạng. Cùng Viettel IDC tìm hiểu cách phần mềm hoạt động và làm quen với các thao tác bắt, lọc, phân tích gói tin qua hướng dẫn dưới đây.

Wireshark là gì?

Wireshark là phần mềm phân tích gói tin mạng (network packet analyzer) mã nguồn mở hàng đầu thế giới, dùng để ghi lại, theo dõi và kiểm tra chi tiết các dữ liệu truyền qua mạng máy tính theo thời gian thực. Công cụ giúp quản trị viên chẩn đoán sự cố kết nối, chuyên gia bảo mật kiểm tra lưu lượng bất thường và lập trình viên tìm hiểu cách ứng dụng trao đổi dữ liệu.

Wireshark hỗ trợ Windows, macOS và Linux, cung cấp giao diện trực quan cùng bộ lọc để tìm các gói tin cần phân tích. Chẳng hạn, khi website truy cập chậm, quản trị viên dùng Wireshark để kiểm tra truy vấn DNS và kết nối TCP, từ đó thu hẹp nguyên nhân gây lỗi.

Wireshark dùng để làm gì?

- Chẩn đoán sự cố mạng: Tìm dấu hiệu lỗi DNS, kết nối thất bại hoặc truyền lại TCP để xác định nguyên nhân mạng chậm.

- Kiểm tra bảo mật: Phân tích kết nối đáng ngờ và lưu lượng bất thường để hỗ trợ điều tra sự cố.

- Gỡ lỗi ứng dụng: Kiểm tra dữ liệu trao đổi giữa máy khách và máy chủ, hỗ trợ tìm lỗi giao tiếp mạng.

- Đánh giá hiệu suất: Theo dõi lưu lượng, thời gian phản hồi và thống kê giao thức để phát hiện điểm nghẽn.

- Học cách giao thức hoạt động: Quan sát các gói tin TCP, UDP, DNS hoặc HTTP qua tình huống thực tế.

- Phân tích dữ liệu đã lưu: Mở tệp PCAP/PCAPNG để xem lại lưu lượng và đối chiếu khi xử lý sự cố.

Wireshark hoạt động như thế nào?

Wireshark hoạt động bằng cách đặt card mạng (network interface card) của máy tính vào chế độ hỗn tạp (promiscuous mode) để thu thập các gói dữ liệu (packet) truyền qua lại trên mạng. Quá trình hoạt đông gồm các bước sau:

1. Bắt gói tin (Capture)

Khi người dùng chọn giao diện Ethernet hoặc Wi-Fi và bắt đầu capture, Wireshark ghi lại các gói tin quan sát được qua giao diện đó. Phạm vi thu thập phụ thuộc vào cấu hình mạng. Với hub hoặc switch được cấu hình port mirroring, công cụ còn nhận được lưu lượng của các thiết bị khác được chuyển đến giao diện đang bắt gói.

2. Phân tích và bóc tách giao thức (Dissection)

Wireshark sử dụng các bộ phân tích giao thức tích hợp để diễn giải dữ liệu thô và bóc tách cấu trúc từng lớp, chẳng hạn Ethernet, IP, TCP/UDP, HTTP và DNS. Nhờ đó, người dùng đọc được địa chỉ nguồn, địa chỉ đích, cổng cùng các trường thông tin thay vì phải tự phân tích chuỗi byte. Quá trình này không đồng nghĩa với giải mã nội dung đã được mã hóa.

3. Hiển thị trực quan (Display)

Dữ liệu sau khi phân tích được trình bày trong ba khung chính, giúp người dùng chuyển từ thông tin tổng quan đến chi tiết:

- Packet List: Danh sách gói tin, gồm thời gian, địa chỉ nguồn và đích, giao thức, độ dài cùng thông tin tóm tắt.

- Packet Details: Cấu trúc của gói tin theo từng lớp giao thức, cho phép mở rộng để kiểm tra từng trường.

- Packet Bytes: Dữ liệu thô của gói tin dưới dạng thập lục phân và ký tự tương ứng.

4. Lọc dữ liệu (Filtering)

Wireshark cung cấp hai loại bộ lọc phục vụ các thời điểm khác nhau trong quá trình phân tích:

- Capture Filters: Giới hạn những gói tin được thu thập ngay khi bắt đầu capture, giúp giảm lượng dữ liệu cần lưu.

- Display Filters: Chỉ hiển thị các gói tin đáp ứng điều kiện lọc, giữ nguyên dữ liệu đã bắt. Ví dụ, http hiển thị các gói HTTP, còn ip.addr == 192.168.1.1 hiển thị các gói có địa chỉ IP nguồn hoặc đích là 192.168.1.1.

Cách tính năng nổi bật của Wireshark là gì?

- Bắt gói tin trực tiếp và ngoại tuyến: Hỗ trợ bắt dữ liệu trực tiếp (live capture) từ các giao diện mạng như Ethernet, Wi-Fi, Bluetooth, USB hoặc đọc các tệp dữ liệu đã lưu trước đó.

- Hỗ trợ hàng nghìn giao thức: Khả năng giải mã và phân tích sâu hơn 2.000 giao thức mạng khác nhau từ cơ bản đến phức tạp (như TCP, UDP, DNS, HTTP, ICMP, VoIP).

- Hệ thống lọc mạnh mẽ: Cung cấp hai loại bộ lọc gồm Capture Filters (lọc từ khi bắt đầu bắt gói tin) và Display Filters (lọc hiển thị chi tiết theo giao thức, địa chỉ IP hoặc cổng) giúp nhanh chóng tìm thấy thông tin cần thiết.

- Mã màu trực quan (Color Coding): Tự động tô màu các dòng gói tin khác nhau (ví dụ: xanh lá cho TCP, xanh dương cho UDP, tím nhạt cho DNS, đen/cam cho các gói tin lỗi) giúp nhận diện nhanh trạng thái mạng.

- Giải mã lưu lượng bảo mật: Hỗ trợ giải mã các giao thức mã hóa nếu cung cấp khóa tương ứng, bao gồm SSL/TLS, WEP, WPA/WPA2, IPsec.

- Thống kê và xuất dữ liệu chi tiết: Cho phép tạo các báo cáo thống kê, biểu đồ lưu lượng mạng và xuất dữ liệu sang nhiều định dạng file khác nhau như pcap, pcapng hoặc tcpdump.

Khi nào nên sử dụng Wireshark?

Wireshark phù hợp khi bạn cần kiểm tra dữ liệu mạng để tìm nguyên nhân của một vấn đề cụ thể. Công cụ đặc biệt hữu ích khi các bước kiểm tra cơ bản chưa đủ để xác định lỗi:

- Mạng chậm hoặc kết nối chập chờn: Cần kiểm tra độ trễ, dấu hiệu truyền lại TCP và gián đoạn kết nối.

- Website hoặc ứng dụng không kết nối được: Cần xác định lỗi ở quá trình phân giải DNS, thiết lập kết nối hay trao đổi dữ liệu.

- Xuất hiện lưu lượng đáng ngờ: Cần kiểm tra các kết nối bất thường để hỗ trợ điều tra bảo mật.

- Ứng dụng gặp lỗi giao tiếp: Cần đối chiếu dữ liệu giữa máy khách và máy chủ trong quá trình phát triển hoặc kiểm thử.

- Cần kiểm chứng cấu hình mạng: Muốn xác nhận hệ thống trao đổi dữ liệu đúng như dự kiến sau khi thay đổi cấu hình.

- Học và thực hành giao thức mạng: Muốn quan sát trực tiếp cấu trúc gói tin và trình tự trao đổi giữa các thiết bị.

Hướng dẫn cách tải Wireshark trên các hệ điều hành

Cách tải Wireshark khác nhau tùy theo hệ điều hành đang sử dụng. Bạn thực hiện theo hướng dẫn tương ứng dưới đây để bắt đầu sử dụng phần mềm.

Windows

Bạn tải bộ cài từ trang chính thức của Wireshark, sau đó cài đặt theo các bước sau:

- Bước 1: Chọn Windows x64 Installer cho máy dùng bộ xử lý Intel/AMD hoặc Windows Arm64 Installer cho máy chạy Windows ARM.

- Bước 2: Mở tệp .exe vừa tải, cho phép trình cài đặt chạy và làm theo hướng dẫn.

- Bước 3: Cài Npcap khi được yêu cầu. Đây là thành phần cần thiết để Wireshark bắt gói tin trực tiếp trên Windows.

- Bước 4: Hoàn tất cài đặt, mở Wireshark từ menu Start và kiểm tra danh sách giao diện mạng.

macOS

Wireshark cung cấp bộ cài dạng .dmg cho macOS. Bạn cần cài thêm thành phần cấp quyền bắt gói tin để sử dụng đầy đủ chức năng:

- Bước 1: Truy cập trang tải Wireshark, chọn macOS Universal Disk Image.

- Bước 2: Mở tệp .dmg, kéo biểu tượng Wireshark vào thư mục Applications.

- Bước 3: Mở Install ChmodBPF.pkg trong bộ cài và làm theo hướng dẫn để cấp quyền bắt gói tin.

- Bước 4: Mở Wireshark từ Applications và kiểm tra các giao diện mạng xuất hiện trên màn hình. 

Ubuntu

Trên Ubuntu, bạn thực hiện Wireshark download trực tiếp từ kho phần mềm bằng Terminal. Trình quản lý gói sẽ tự xử lý các thành phần phụ thuộc. 

- Bước 1: Nhấn Ctrl + Alt + T để mở Terminal.

- Bước 2: Cập nhật danh sách gói rồi cài Wireshark:

- Bước 3: Nếu muốn cho phép tài khoản thông thường bắt gói tin, chạy lệnh sau và chọn Yes khi được hỏi:

- Bước 4: Đăng xuất rồi đăng nhập lại để áp dụng quyền mới, sau đó mở Wireshark từ menu ứng dụng.

Red Hat/Fedora

Red Hat và Fedora sử dụng trình quản lý gói thuộc họ RPM. Tên gói chứa giao diện đồ họa khác nhau giữa các bản phân phối, nên cần chọn lệnh phù hợp.

- Bước 1: Mở Terminal.

- Bước 2: Trên Fedora, chạy:

Với Red Hat Enterprise Linux, nếu kho phần mềm của phiên bản đang dùng cung cấp gói wireshark-qt, chạy:

- Bước 3: Xác nhận cài đặt khi được yêu cầu và chờ quá trình tải gói hoàn tất.

- Bước 4: Mở Wireshark từ menu ứng dụng. Nếu báo không tìm thấy gói, kiểm tra kho phần mềm đang bật và tên gói dành cho phiên bản hệ điều hành đó.

Kali Linux

Wireshark nằm trong bộ công cụ mặc định của Kali Linux, nhưng không phải mọi bản cài đều có sẵn. Bạn kiểm tra trước và bổ sung phần mềm nếu cần.

- Bước 1: Tìm Wireshark trong menu ứng dụng hoặc nhập wireshark vào Terminal.

- Bước 2: Nếu chưa được cài đặt, chạy:

- Bước 3: Nếu tài khoản chưa có quyền bắt gói tin, chạy các lệnh sau và chọn Yes trong màn hình cấu hình:

- Bước 4: Đăng xuất rồi đăng nhập lại, sau đó mở Wireshark để bắt đầu sử dụng.

Hướng dẫn sử dụng Wireshark cho người mới

Sau khi cài đặt, bạn nên bắt đầu bằng một phiên thu thập lưu lượng ngắn trên máy của mình. Các bước dưới đây giúp bạn làm quen với cách bắt, lọc, đọc và lưu gói tin trong Wireshark.

Chọn giao diện mạng và bắt gói tin

Cách dùng Wireshark bắt gói tin là một trong những thao tác cơ bản người mới nên làm quen đâu tiên. Wireshark hiển thị danh sách giao diện mạng ngay trên màn hình khởi động. Bạn cần chọn đúng giao diện đang sử dụng để thu thập lưu lượng cần kiểm tra:

- Bước 1: Mở Wireshark, tìm giao diện Wi-Fi nếu đang kết nối không dây hoặc Ethernet nếu dùng mạng dây.

- Bước 2: Nhấp đúp vào tên giao diện để bắt đầu bắt gói tin.

- Bước 3: Mở trình duyệt và truy cập một website để tạo lưu lượng thử nghiệm.

- Bước 4: Quay lại Wireshark, nhấn nút Stop hình vuông màu đỏ để dừng sau khi đã ghi nhận thao tác cần kiểm tra.

Lọc các gói tin cần xem

Danh sách thu thập chứa nhiều loại lưu lượng khác nhau. Bạn nhập điều kiện vào thanh Display Filter phía trên danh sách gói tin, sau đó nhấn Enter để thu hẹp kết quả.

Thay địa chỉ IP trong ví dụ bằng địa chỉ cần kiểm tra. Bộ lọc hiển thị chỉ ẩn những gói không đáp ứng điều kiện, giữ nguyên dữ liệu đã thu thập; xóa bộ lọc để xem lại toàn bộ danh sách.

Đọc thông tin của một gói tin

Nhấp vào một gói trong danh sách để xem cấu trúc và dữ liệu tương ứng. Bạn bắt đầu từ các thông tin tổng quan, sau đó mở rộng từng lớp giao thức:

- Packet List: Xem thời gian, địa chỉ nguồn, địa chỉ đích, giao thức và nội dung tóm tắt.

- Packet Details: Mở các mục Ethernet, IP, TCP/UDP hoặc giao thức ứng dụng để kiểm tra từng trường.

- Packet Bytes: Đối chiếu dữ liệu thô dưới dạng thập lục phân khi cần phân tích sâu.

Ví dụ, nhập bộ lọc dns, chọn một gói truy vấn rồi mở mục Domain Name System để xem tên miền được yêu cầu phân giải. Nếu phiên bắt gói có phản hồi DNS tương ứng, chọn gói phản hồi để kiểm tra kết quả trả về.

Theo dõi một luồng trao đổi

Tính năng Follow TCP Stream giúp tập hợp dữ liệu của một kết nối TCP để xem liền mạch. Bạn thực hiện theo các bước sau:

- Bước 1: Chọn một gói TCP thuộc kết nối cần kiểm tra.

- Bước 2: Nhấp chuột phải, chọn Follow → TCP Stream.

- Bước 3: Xem dữ liệu hai chiều trong cửa sổ vừa mở.

- Bước 4: Đóng cửa sổ để quay lại danh sách gói tin.

Với kết nối HTTPS, Follow TCP Stream không tự hiển thị nội dung dưới dạng văn bản rõ. Giải mã TLS cần dữ liệu khóa phù hợp và đáp ứng các điều kiện kỹ thuật.

Lưu và mở lại dữ liệu đã bắt

Sau khi dừng capture, bạn lưu phiên thu thập để phân tích lại hoặc đối chiếu với lần kiểm tra tiếp theo. Các thao tác cơ bản gồm:

- Lưu dữ liệu: Chọn File → Save As, đặt tên, chọn thư mục và lưu dưới định dạng .pcapng.

- Mở dữ liệu: Chọn File → Open, tìm tệp .pcapng hoặc .pcap rồi nhấn Open.

Đặt tên tệp theo thời gian và tình huống kiểm tra, chẳng hạn kiem-tra-dns-2026-10-06.pcapng, để dễ tra cứu khi cần. 

Cách tô màu gói tin (Color Coding)

Color Coding giúp làm nổi bật các nhóm gói tin theo điều kiện bạn đặt ra. Bạn dùng tính năng này để nhận diện nhanh lưu lượng cần kiểm tra trong danh sách:

- Bước 1: Chọn View → Coloring Rules.

- Bước 2: Nhấn dấu + để thêm quy tắc mới.

- Bước 3: Đặt tên quy tắc và nhập điều kiện lọc, chẳng hạn dns để đánh dấu các gói DNS.

- Bước 4: Chọn Foreground để đổi màu chữ hoặc Background để đổi màu nền.

- Bước 5: Đưa quy tắc đến vị trí phù hợp trong danh sách rồi nhấn OK để áp dụng.

Wireshark sử dụng quy tắc khớp đầu tiên từ trên xuống. Vì vậy, hãy đặt quy tắc cụ thể như dns trước quy tắc tổng quát như udp để màu mong muốn được hiển thị.

Kết luận

Wireshark giúp người dùng hiểu rõ dữ liệu trao đổi trên mạng và có thêm căn cứ khi chẩn đoán sự cố. Hãy bắt đầu với một phiên bắt gói ngắn, xác định vấn đề cần kiểm tra rồi chọn bộ lọc phù hợp để phân tích hiệu quả hơn.

Để tìm hiểu thêm về các sản phẩm, dịch vụ tại Viettel IDC, vui lòng liên hệ đến Viettel IDC:

- Hotline: 1800.8088 (miễn phí cước gọi)

- Fanpage: https://www.facebook.com/viettelidc

- Website: https://viettelidc.com.vn