TCP Viewer：Mac 上最佳的 Wireshark 替代工具

Wireshark 几乎可以检查任何类型的网络流量。但如果你只想在 Mac 上抓取流量、找到某个连接并查看它，它可能显得过于庞大。

TCP Viewer 采用了更小巧、更聚焦的思路。它是由 Proxyman 团队开发的原生 macOS 数据包查看器。它保留了数据包分析中熟悉的核心功能，同时去掉了许多繁琐的配置。

这也是我们认为，对许多 Mac 开发者来说，TCP Viewer 是最佳 Wireshark 替代品的原因。它并不试图取代 Wireshark 的每一个高级工具，而是让日常的数据包分析工作更轻松。

1. 基于 Wireshark 库构建的原生 macOS 应用

这是 TCP Viewer 最出色的部分。

• TCP Viewer 是一款原生 macOS 应用。
• 它的界面遵循 Mac 上熟悉的设计规范。
• 它构建于 Wireshark 的数据包分析库之上。
• 内置的 Wireshark 引擎可以解码协议、字段、值以及字节范围。
• 选中一个解码后的字段，会高亮显示与之对应的原始字节。

你可以获得 Wireshark 级别的数据包详情，而无需整天面对密集的跨平台界面。数据包列表、侧边栏、检查器和 Follow Stream 窗口，都很好地融入了 macOS。

2. 按应用和域名对数据包分组

数据包列表很长时会很快变得杂乱。TCP Viewer 提供了一个侧边栏，可以按你已经熟悉的对象对流量进行分组。

• 打开某个应用，即可查看它连接过的域名和 IP 地址。
• 选择一个域名，即可显示与之相关的数据包。
• 在侧边栏中搜索，而不必逐行阅读每个数据包。
• 使用 TCP Viewer PRO，可以将重要的应用或域名固定，以便快速访问。
• 仅导出所选分组中的流量。

当你知道请求来自 Safari、Docker 或你自己的应用，但还不知道其源地址或端口时，这一功能就很有用。

了解应用和域名分组的工作原理。

3. 使用 Wireshark 过滤器并检查结果

TCP Viewer 支持 Wireshark 的显示过滤器语法。你可以粘贴已经在使用的过滤器，例如：

tcp.port == 443 and ip.addr == 192.168.1.10

过滤器改变的是你看到的内容，并不会从抓包结果中删除数据包。

你也可以使用更简单的控件完成常见操作：

• 按 TCP、UDP、DNS、TLS 或其他协议进行过滤。
• 按应用、域名、地址、端口、流或解码后的字段进行匹配。
• 查找存在解码错误的数据包。
• 清除过滤器，即可让所有被隐藏的数据包重新显示。

找到目标数据包后，打开它的协议树。你可以搜索字段、复制值、查看原始字节，或将有用的字段添加为数据包表格的列。

4. 跟踪完整的 TCP 会话

一条应用层消息可能会被拆分到多个数据包中。逐行阅读这些记录非常痛苦。

TCP Viewer 的 Follow Stream 窗口会将整个会话重新拼接起来。

• 同时查看两个方向的数据。
• 仅显示客户端到服务器或服务器到客户端的数据。
• 在可读文本与精确的十六进制字节之间切换。
• 搜索流内容，并逐个跳转到每个匹配项。
• 从流记录跳回其对应的原始数据包。
• 保存会话记录，或导出原始字节。

同一窗口也可以检查 UDP 流。加密的 TLS、QUIC 和 DTLS 数据会保持加密状态，因此文本视图中仍可能显示密文。

了解如何跟踪 TCP 和 UDP 流。

5. 打开、查看和导出抓包文件

TCP Viewer 支持标准的数据包文件，因此不会将你的抓包数据锁定在某一个应用中。

• 将 PCAP 或 PCAPNG 文件拖入窗口。
• 使用相同的侧边栏、过滤器和数据包检查器进行查看。
• 导出完整的抓包数据，或导出较小的分组。
• 在 TCP Viewer、Wireshark 或其他兼容工具中打开导出的文件。

Overview 界面还能让你快速了解抓包概况。它会显示数据包总数、随时间变化的流量、协议使用情况，以及最活跃的应用和目标地址。

什么时候仍应使用 Wireshark？

Wireshark 依然是一款出色的工具。以下情况下请使用它：

• 对多种协议进行深入的专业分析。
• 大量的统计数据和专家视图。
• 在 macOS、Windows 和 Linux 上进行跨平台工作。
• 团队中网络或安全人员已经非常熟悉的共享工具。

如果你的日常工作符合以下情况，TCP Viewer 会是更好的选择：

• 在 Apple 芯片的 Mac 上抓取数据包。
• 按应用或域名查找流量。
• 使用简洁的 Mac 界面。
• 检查 Wireshark 级别的数据包详情。
• 仅当问题需要更深入的分析时，才将较小的 PCAP 文件发送到 Wireshark。

最后这一点很重要。你不必永远只选一个工具。TCP Viewer 可以负责快速抓包和初步查看，而 Wireshark 则可以接手少数需要深入排查的情况。

试用 TCP Viewer

TCP Viewer 可在搭载 Apple 芯片、macOS 15 或更高版本的 Mac 上运行。

1. 下载 TCP Viewer。
2. 选择网络接口。
3. 开始抓包。
4. 选择应用、域名或协议。
5. 打开一个数据包，检查其解码后的字段。

对于 Mac 上的日常数据包调试，这正是我们自己也想使用的 Wireshark 替代工具。