为何Wireshark无法捕获本地后端发起的对外API请求？

场景说明 #

需要捕获本地Windows Server 2019系统上.NET 6后端应用发起的远程HTTPS API请求，仅需确认请求是否发起，无需解析HTTPS内容，但多次尝试Wireshark捕获均失败。

问题细节 #

• 本地应用部署在http://localhost:5000/，调试时触发后端调用远程HTTPS API，API返回401状态码
• 两次Wireshark捕获尝试：
  1. 同时监听以太网和回环接口，用port 5000过滤器，仅捕获到应用启动的初始数据包，无后续API请求流量
  2. 监听相同接口，无初始过滤器，后添加ip.src == 127.0.0.1过滤器，未捕获到目标IP非本地的对外流量

原因分析 #

1. 端口过滤器错误：port 5000过滤的是本地应用的监听端口，后端发起对外请求时会使用系统随机分配的临时端口，而非5000，因此该过滤器会漏掉目标流量。
2. 回环接口的适用范围：Windows的回环接口仅捕获本地进程间的通信（比如浏览器到localhost:5000的流量），后端发起的对外请求走物理以太网接口，不会经过回环，所以ip.src == 127.0.0.1过滤不到这类流量。
3. HTTPS流量的捕获逻辑：即便不需要解析内容，Wireshark能捕获到TLS握手和加密数据包，但接口选择错误会直接导致无法捕获。

解决方法 #

1. 选择正确的捕获接口：仅监听物理以太网接口，不要包含回环接口，因为对外请求通过该接口发送。
2. 使用精准的过滤器：
   • 已知远程API域名时：用host <API域名>，例如host api.openai.com
   • 已知远程API IP时：用ip.dst == <API IP地址>
   • 通用HTTPS过滤：用tcp port 443捕获所有对外HTTPS流量，结合本地IP缩小范围：ip.src == <你的本地机器IP> and tcp port 443
3. 调整捕获时机：先启动Wireshark开始捕获，再触发后端的API请求，避免漏掉初始的TLS握手数据包。
4. 验证捕获有效性：先通过ping <API域名>获取目标IP，用ip.dst == <IP>过滤，确认能捕获到ping的数据包，再测试API请求，确保Wireshark配置正确。

用户提供的代码 #

public static void Main(string[] args)
{
    var url = args[1];
    var api_key = args[2]; 

    var openAIClient = new OpenAIClient(
        credential: new System.ClientModel.ApiKeyCredential(api_key),
        options: new OpenAIClientOptions() { Endpoint = new Uri(url) }
    );
    var chatClient = openAIClient.GetChatClient("gpt-4o");
    var response = chatClient.CompleteChat(new ChatMessage[] {
        new SystemChatMessage("You are a helpful assistant that talks like a pirate."),
        new UserChatMessage("Hi, can you help me?"),
    });
}

内容的提问来源于stack exchange，提问作者OfirD