Ubuntu下Wireshark/tcpdump仅捕获802.11信标与探测响应包问题求助
2026-5-29
排查WiFi仅能捕获信标帧和探测响应帧的问题
我来帮你一步步排查这个抓包异常的情况——这种只能捕获两类管理帧的问题，大多和网卡模式、工具配置或者系统限制有关，咱们逐个验证：
1. 确认WiFi网卡是否处于真正的监控模式
只有在监控模式下，网卡才能捕获所有802.11帧类型。先检查当前状态：
- 执行命令
iwconfig，查看对应网卡（比如wlan0）的Mode字段是否为Monitor - 或者用更现代的命令：
ip link show wlan0，看输出里是否包含mode MONITOR
如果不是监控模式，手动切换：
- 先停止网络管理器避免干扰：
sudo service network-manager stop - 关闭网卡：
sudo ip link set wlan0 down - 设置监控模式：
sudo iw dev wlan0 set type monitor - 重新开启网卡：
sudo ip link set wlan0 up
再次用上述命令确认模式切换成功。注意：部分廉价网卡或小众芯片可能不支持完整监控模式，可通过iw list查看supported interface modes里是否包含monitor。
2. 检查抓包工具的捕获配置
Wireshark配置
- 打开捕获选项，选中对应WiFi网卡后，务必勾选Monitor mode选项
- 检查捕获过滤器：如果之前设置了类似
wlan type mgt subtype beacon or wlan type mgt subtype probe-response的过滤规则，会限制捕获范围，建议清空过滤器或仅保留wlan以捕获所有WiFi帧
tcpdump配置
- 执行抓包命令时，必须加上
-I参数启用监控模式：tcpdump -I -i wlan0 - 确保没有额外的过滤条件，比如不要添加
wlan type mgt subtype beacon这类限制规则
3. 排除Network Manager的自动干扰
Ubuntu的Network Manager可能会自动接管网卡，强制切换回Managed模式，即使你手动设置了监控模式：
- 编辑
/etc/NetworkManager/NetworkManager.conf，在[keyfile]段添加：unmanaged-devices=interface-name:wlan0 - 重启Network Manager：
sudo service network-manager restart
这样Network Manager就不会再干预该网卡的模式设置了。
4. 验证捕获信道是否匹配目标AP
信标帧和探测响应帧是全信道广播的，但关联请求、数据帧等仅在目标AP的工作信道传输。如果你的网卡捕获信道和AP信道不一致，就只能抓到广播类帧：
- 先通过
iwlist wlan0 scan查看目标AP的信道号 - 手动设置网卡信道：
sudo iw dev wlan0 set channel <信道号> - Wireshark中也可以在捕获选项里直接指定信道
5. 老版本系统（如Ubuntu14.04）的驱动/内核问题
Ubuntu14.04的内核和驱动版本较老，对部分WiFi网卡的监控模式支持不完善：
- 尝试更新对应网卡的驱动：比如Realtek网卡可安装
rtl8812au-dkms，Broadcom网卡安装bcmwl-kernel-source（需先启用 universe 源） - 若条件允许，可尝试升级内核版本，提升对监控模式的支持
内容的提问来源于stack exchange，提问作者chandra reddy
相关产品推荐
相关产品推荐
