同一WiFi网络下使用Wireshark捕获IoT设备数据包相关问题咨询

结论 #

笔记本上的Wireshark完全可以捕获同WiFi网络下IoT设备的进出数据包，你当前抓不到是家用WiFi网络的默认工作机制导致的。

普通家用路由器/AP的WiFi网络默认会隔离不同终端的单播二层帧，你的笔记本无线网卡默认只接收发往自身MAC地址的数据包、以及广播/组播数据包，IoT设备和路由器/其他终端的单播通信包不会被你的网卡接收，因此哪怕配置了IP过滤规则也找不到目标流量。

• 方案1：开启无线网卡监听模式
  Windows环境下先确认你的无线网卡是否支持监听模式：打开Wireshark捕获选项，查看WiFi网卡旁是否有「监听模式」勾选框，勾选后再选择和你家路由器相同的工作信道，启动捕获即可拿到同信道下所有WiFi设备的流量，之后用ip.addr == {IoT设备IP}过滤即可。如果你的Windows网卡不支持监听模式，可切换到Linux系统操作，绝大多数无线网卡在Linux下都支持开启监听模式。
• 方案2：配置路由器端口镜像
  如果你的路由器支持端口镜像功能，可以将WiFi接口/上联WAN口的流量镜像到你笔记本插入的有线端口，无需修改网卡配置，直接捕获有线网卡的流量再过滤即可。
• 方案3：笔记本作为热点接入IoT设备
  直接在Windows 10系统开启移动热点，让IoT设备连接该热点，此时IoT设备的所有流量都会经过你的笔记本网卡，直接捕获热点对应的虚拟网卡流量，用IP过滤即可直接拿到目标数据包，该方案门槛最低，无需额外硬件或修改路由器配置。

• 如果你的WiFi采用WPA/WPA2/WPA3加密，开启监听模式抓包后需要先在Wireshark中配置解密规则才能看到IP层内容，配置路径：编辑 -> 首选项 -> Protocols -> IEEE 802.11，勾选「Enable decryption」，在Decryption Keys中添加你的WiFi密钥，格式选择WPA-PWD，内容填写为你的WiFi密码:WiFi的SSID即可。
• 抓包前建议先在路由器DHCP客户端列表确认IoT设备的固定IP与MAC地址，也可以使用eth.addr == {IoT设备MAC地址}作为过滤规则，避免IP变动导致过滤失效。

内容的提问来源于stack exchange，提问作者ABD