Wireshark를 켰는데 내 컴퓨터 패킷과 ARP만 보이고 다른 기기끼리 주고받는 패킷은 안 보인다는 질문이 공식 FAQ에 여러 번 나옵니다. 원인은 대부분 프로그램이 아니라 스위치 네트워크 구조입니다. FAQ 기준으로 정리했습니다.
Wireshark를 켰는데 내 컴퓨터 패킷과 ARP만 보이고 다른 기기끼리 주고받는 패킷은 안 보인다는 질문이 공식 FAQ에 여러 번 나옵니다. 원인은 대부분 프로그램이 아니라 스위치 네트워크 구조입니다. FAQ 기준으로 정리했습니다.
Wireshark 스위치 네트워크 한계
스위치에 연결된 컴퓨터에서 캡처하면, 스위치는 그 포트로 내 컴퓨터 앞으로 온 유니캐스트와 브로드캐스트·멀티캐스트만 보냅니다. 그래서 다른 두 기기 사이의 유니캐스트는 보이지 않습니다. 허브라고 생각한 장비가 사실 스위칭 허브인 경우도 같습니다. 일부 스위치는 모든 포트의 트래픽을 한 포트로 복제하는 기능이 있어, 그 포트에 분석용 컴퓨터를 꽂으면 전체 트래픽을 볼 수 있습니다.
Wireshark ARP만 보일 때
FAQ가 설명하는 증상과 원인입니다.
| 구분 | 내용 |
|---|---|
| ARP만 보임 | 스위치 환경 · ARP는 브로드캐스트라 모든 포트로 감 |
| 내 TCP만 보임 | TCP는 브로드캐스트·멀티캐스트를 안 씀 |
| UDP 일부만 보임 | 브로드캐스트·멀티캐스트 UDP만 |
| 아무것도 안 보임 | 그 인터페이스로 오가는 트래픽이 없음 |
| 해결 | 스위치 포트 복제 기능 사용 |
| 무혼잡 모드 | 끄지 않으면 기본으로 켜짐 |
Wireshark 무선랜 모니터 모드
내가 접속하지 않은 무선 네트워크까지 보려면 모니터 모드로 캡처해야 합니다. 모니터 모드 지원 여부는 운영체제, 무선 어댑터, 드라이버에 따라 다르고, 지원하지 않는 경우가 있습니다. 모니터 모드로 켜 둔 동안 그 어댑터는 일반 네트워크 연결을 못 하므로, FAQ는 캡처 중 이름 해석을 끄라고 안내합니다. 이름을 찾느라 오래 멈출 수 있기 때문입니다.
Wireshark TCP 체크섬 오류
내 컴퓨터가 보낸 패킷에만 TCP 체크섬 오류가 붙는다면 대개 네트워크 카드의 체크섬 오프로딩 때문입니다. 체크섬을 운영체제가 아니라 카드가 붙이기 때문에 캡처 시점에는 값이 비어 있는 것입니다. 오프로딩을 끄면 네트워크 성능이 떨어질 수 있어, 대신 편집 → 환경설정 → 프로토콜 → TCP에서 체크섬 검사 옵션을 끕니다.
Wireshark는 GPLv2 무료 프로그램이고 현재 안정판은 4.6.9입니다. Windows는 확장 지원 기간 안의 64비트 버전이 대상이고, Windows 10 1809는 4.6, Windows 7은 3.2, 32비트 Windows는 3.6이 마지막 지원 브랜치입니다. 실시간 캡처에는 Npcap이 필요하며 /S 무인 설치는 Npcap을 깔지 않습니다. 스위치 네트워크에서는 다른 기기끼리의 유니캐스트가 보이지 않으므로 포트 복제 기능이 있어야 전체 트래픽을 볼 수 있고, 다른 무선 네트워크는 모니터 모드를 지원하는 어댑터와 드라이버가 있어야 잡힙니다. 내 송신 패킷에만 뜨는 체크섬 오류는 오프로딩 탓이라 TCP 검사 옵션을 끄면 됩니다.
