Wireshark实时抓包如何过滤最近15分钟的端点与会话流量

Wireshark原生显示过滤器不支持调用系统实时时钟作为变量，所有时间类过滤规则都只能使用写入规则的固定时间值，无法自动生成滚动时间窗口。
你查到的time.time字段是数据包携带的Unix纪元格式绝对时间戳，使用方式和frame.time一致，仅支持和固定数值做比较，比如time.time >= 1716186600就是过滤时间戳晚于1716186600的数据包，没有动态计算能力。
此前查到的固定时间窗口过滤规则是官方原生支持的唯一时间过滤方案，需要手动更新规则里的时间值才能调整窗口，无法自动随当前时间滚动。如果临时使用，可以把时间显示格式切换为「自捕获开始以来的秒数」，手动计算当前捕获时长减900秒（15分钟）的阈值，写frame.time_relative >= 计算出的阈值临时过滤，缺点是每过一分钟就要手动修改一次阈值，无法自动更新。

• 方案1：通过Lua插件给Wireshark添加自定义动态过滤字段
  写一个简单的Lua后置解析插件，实时读取系统当前时间，和数据包时间戳做差值判断，注册自定义过滤字段即可实现动态规则。以下是可直接使用的最简插件代码：

  local last15_field = ProtoField.bool("custom.in_last15min", "Within last 15 minutes")
  local filter_proto = Proto("rolling_time_filter", "Rolling 15-minute time filter")
  filter_proto.fields = {last15_field}
  
  function filter_proto.dissector(buf, pinfo, tree)
      local current_ts = os.time()
      local pkt_ts = tonumber(pinfo.abs_ts)
      local match = (pkt_ts >= current_ts - 900) and 1 or 0
      local subtree = tree:add(filter_proto, "Rolling filter status")
      subtree:add(last15_field, match)
  end
  
  register_postdissector(filter_proto)
  

  把代码存为rolling_15min_filter.lua，放到Wireshark插件目录后重启软件，直接使用过滤规则custom.in_last15min == 1即可，规则会自动基于当前系统时间过滤最近15分钟的流量，不需要手动修改。
• 方案2：抓包侧通过环形缓冲只输出最近15分钟流量
  你本来就是走SSH连路由器抓VPN接口流量，可以直接在抓包流程里加环形缓冲逻辑，只保留最近15分钟的报文再导入Wireshark，不需要在Wireshark侧做任何过滤。
  最简便的实现是用tcpdump的环形缓冲参数，示例命令：tcpdump -i [你的VPN接口名] -w - -W 3 -G 300 | wireshark -k -i -，命令逻辑是每300秒（5分钟）轮转一个抓包分片，最多保留3个分片，总窗口时长正好15分钟，早于15分钟的报文会被自动丢弃，Wireshark中永远只显示最近15分钟的流量。如果路由器上的tcpdump版本不支持对应参数，可以把SSH传输的原始抓包流导到本地，用本地安装的dumpcap/tshark做环形缓冲后再喂给Wireshark，逻辑完全一致。
• 方案3：用tshark做实时流量预处理
  如果不想修改Wireshark配置、也不想调整路由器侧抓包命令，可以在本地开tshark进程接收SSH传来的原始流量，实时比对数据包时间戳和当前系统时间，丢弃15分钟前的旧报文后，再把符合要求的流量输出给Wireshark显示。

内容的提问来源于stack exchange，提问作者Isaac C