运行PowerShell NetEventSession脚本报错求助：通用未明确错误

你碰到的这个通用错误在使用NetEvent会话抓包时真的很常见，我帮你梳理几个大概率能解决问题的方向：

先明确你的问题场景 #

你的脚本：

param( [UInt16]$port=25 )
New-NetEventSession -Name "Capture" -CaptureMode RealtimeLocal -LocalFilePath "C:\Users\5.etl"
Add-NetEventWFPCaptureProvider -SessionName "Capture" -TCPPorts $port
Start-NetEventSession -Name "Capture"

报错内容：

Start-NetEventSession : 发生了未被更具体错误代码涵盖的通用错误。
位置：C:\Users\shaun\Documents\Untitled1.ps1:6 char:1

• Start-NetEventSession -Name "Capture"

逐一排查解决步骤 #

• 先检查权限！
  NetEvent相关的命令必须在管理员权限的PowerShell里运行，这是最容易忽略的点。右键点击PowerShell图标，选择「以管理员身份运行」，再重新执行脚本试试。

• 修正ETL文件路径
  你指定的C:\Users\5.etl路径有点奇怪——要么是文件名写错了（比如应该是某个用户目录下的文件？），要么是你没有在Users根目录的写入权限。建议改成一个你确定有权限的路径，比如：

  New-NetEventSession -Name "Capture" -CaptureMode RealtimeLocal -LocalFilePath "C:\Users\shaun\Documents\Capture_$(Get-Date -Format 'yyyyMMddHHmm').etl"
  

  这样既用了你的用户文档目录，还加了时间戳避免文件重名。

• 清理旧的会话残留
  如果之前运行过这个脚本但没正常停止/删除会话，可能会导致冲突。先执行以下命令清理：

  Get-NetEventSession -Name "Capture" -ErrorAction SilentlyContinue | Remove-NetEventSession -Force
  

  清理完再重新运行你的脚本。

• 检查Windows Filtering Platform服务状态
  NetEvent依赖WFP服务，要是这个服务没运行也会报错：

  1. 按下Win+R，输入services.msc打开服务管理器
  2. 找到「Windows Filtering Platform」服务，确认它的状态是「正在运行」
  3. 如果没运行，右键点击选择「启动」，之后再重试脚本

• 调整端口参数的格式
  有时候Add-NetEventWFPCaptureProvider的TCPPorts参数需要数组格式，试试把这行改成：

  Add-NetEventWFPCaptureProvider -SessionName "Capture" -TCPPorts @($port)
  

你可以按顺序试这些方法，一般前两个就能解决大部分情况。

内容的提问来源于stack exchange，提问作者Shaun S