Wireshark IPv6捕获过滤器：如何简化批量地址过滤规则？

一、批量排除IPv6地址的简洁写法 #

Wireshark捕获过滤器基于libpcap语法，不支持NOT IN这类列表式排除语法，但可以通过括号分组+逻辑或简化冗长的排除规则：

• 原冗长写法：

  host 2001:db8::1 and not host 2001:db8::2 and not host 2001:db8::3 and not host 2001:db8::4
  

• 简化后写法：

  host 2001:db8::1 and not (host 2001:db8::2 or host 2001:db8::3 or host 2001:db8::4)
  

把所有需要排除的地址用or组合后整体用not取反，不用重复写not，地址越多越能体现简洁性。

二、IPv6 CIDR捕获过滤的正确方案 #

你之前用host <cidr>不生效的原因是：host关键字仅匹配单个主机地址，无法识别CIDR前缀。要匹配IPv6子网，必须用ip6 net关键字：

• 基础正确写法（保留指定主机，排除目标子网的所有流量）：

  host 2001:db8::1 and not ip6 net 2001:db8::/46
  

• 精准控制写法（排除该子网作为源或目的的流量）：

  host 2001:db8::1 and not (ip6 src net 2001:db8::/46 or ip6 dst net 2001:db8::/46)
  

注意：捕获过滤器的语法和显示过滤器完全不同，显示过滤器可以直接用ip.addr in 2001:db8::/46，但捕获过滤器必须严格遵循libpcap的规则，子网匹配只能用ip6 net。

内容的提问来源于stack exchange，提问作者Jürgen Thelen