在 Windows Server 2008 R2 上捕获本地流量

Question

我在同一台 Windows Server 2008 R2 计算机上运行了三个不同的应用程序，它们通过 TCP/IP 相互通信。这三个应用程序都使用服务器的实际 IP 地址（而不是使用环回接口），即 192.168.106.1。

当我在服务器上运行 Wireshark 时，我看不到这三个应用程序之间的任何流量。我向服务器添加了一条路由，将发往 192.168.106.1 的流量转发到我的 LAN 网关，在这种情况下，我现在可以看到流量的 SYN 数据包。但是，我没有看到任何返回。

底线是...有人成功捕获 Windows Server 2008 R2 机器上的本地流量吗？

Answer 1

它是这里解释了为什么在 Wireshark wiki 上这是不可能的以及一些解决方法。基本上，主机本地的流量在 Windows TCP 堆栈内路由，因此永远不会到达 Wireshark 监听的接口层（通过 winpcap）。因此，如果没有该链接背后的解决方法，就不可能实现。

Answer 2

你可以尝试网络监视器这是微软的网络监视器。它似乎将自身添加为网络服务，因此可能会起作用。