在 Wireshark 中直接过滤域名并非像过滤 IP 地址那样简单，因为网络数据包的核心传输层是基于 IP 地址而非域名，要实现精准的域名过滤，核心上文归纳是：必须利用应用层协议（如 DNS、HTTP、TLS）携带的域名信息，或者通过解析域名获取对应的 IP 地址集进行过滤。 掌握这一逻辑，才能在复杂的流量中快速定位目标域名的交互数据。
基于 DNS 协议的精准定位
DNS 协议是域名与 IP 地址转换的桥梁，也是抓包最直接的切入点，当我们需要分析某个域名的解析过程时，使用 DNS 过滤器是最快的方法。
在 Wireshark 的显示过滤器栏中输入 dns.qry.name == "example.com"，即可筛选出所有查询该域名的 DNS 请求包，为了更全面地观察解析细节，建议配合使用 dns.flags.response == 0（仅看请求）和 dns.flags.response == 1（仅看响应）。
专业技巧：如果目标域名使用了 CNAME（别名记录），单纯过滤主域名可能会遗漏数据，可以使用 dns.qry.name contains "example.com" 进行模糊匹配，或者关注 DNS 响应包中的 dns.answers 字段，查看其解析出的最终真实域名，进而对真实域名进行二次过滤，这种方法在排查 CDN 加速或域名劫持问题时尤为有效。
针对 HTTP 明文流量的 Host 过滤
虽然 HTTPS 已成为主流，但在内网环境或老旧系统中，HTTP 流量依然存在，对于 HTTP 流量，Wireshark 提供了非常便捷的 http.host 过滤器。
输入 http.host == "example.com" 可以筛选出所有 HTTP 请求头中 Host 字段为目标域名的数据包，这不仅能看到请求，还能直接看到响应内容。需要注意的是，该过滤器仅适用于 HTTP/1.x 和未加密的 HTTP/2 流量，一旦流量经过 SSL/TLS 加密，HTTP 层的信息（包括 Host 头）对 Wireshark 来说就是密文，http.host 过滤器将失效。
基于 TLS SNI 的 HTTPS 流量过滤
在现代网络环境中,绝大多数流量都是 HTTPS 加密的，由于 SSL/TLS 协议在握手阶段会传输 Client Hello 消息，其中包含 SNI（Server Name Indication）字段，该字段用于告知服务器客户端想访问的域名，这是过滤 HTTPS 流量的关键突破口。
使用显示过滤器 tls.handshake.extensions_server_name == "example.com"，可以精准抓取到访问该域名的 TLS 握手包。这是目前分析 HTTPS 流量最核心的手段之一，通过观察握手包，我们可以确认客户端是否发起了正确的连接请求，该过滤器只能筛选出握手阶段的包，无法直接展示后续加密的应用层数据内容，若要查看该连接的所有后续数据包，需要结合“追踪流”功能，右键点击握手包选择“追踪” -> “TLS 流”，即可看到该 TCP 连接上的所有加载数据。
通过 IP 地址解析的终极过滤方案
上述方法虽然能定位域名,但往往只能看到特定协议的数据包（如仅看握手或仅看 DNS），若要查看与该域名相关的所有 IP 层数据包（包括 TCP、UDP 等），最专业的做法是先解析出域名对应的所有 IP 地址，再进行过滤。
- 外部解析法：使用
nslookup或dig命令在终端获取目标域名的所有 A 记录（IP 地址）。 - 构建过滤器：将获取到的 IP 地址组合成 Wireshark 过滤器，若域名解析出 1.2.3.4 和 5.6.7.8，则输入
ip.addr == 1.2.3.4 or ip.addr == 5.6.7.8。
专家级解决方案：Wireshark 内部也集成了解析功能，在“编辑” -> “首选项” -> “名称解析”中启用“解析 MAC 地址”和“解析网络层名称”并不能直接解决域名过滤问题，但我们可以利用 Wireshark 的命令行工具 capinfos 或配合脚本自动化完成“域名到 IP”的转换，对于动态 IP（如 CDN 场景），IP 地址可能会变化，此时建议采用混合过滤策略：先通过 tls.handshake.extensions_server_name 锁定握手包，记录下该握手包的源 IP 和目的 IP，然后使用 ip.addr == x.x.x.x && ip.addr == y.y.y.y 来过滤该特定会话的所有流量。
组合过滤与性能优化
在实际复杂的网络抓包中,单一条件往往不够用，利用逻辑运算符 &&（与）、（或）、（非）可以构建强大的过滤表达式。
若想排除常见的 DNS 干扰，只看某域名的 HTTPS 流量，可以使用：tls.handshake.extensions_server_name == "example.com" && !(dns)。
性能提示：在处理 GB 级别的大抓包文件时，避免使用过于复杂的正则表达式（如 matches），这会显著降低 Wireshark 的加载速度，尽量使用精确匹配（）或基于索引的字段过滤（如 frame.number），以保证分析流畅度。
相关问答
Q1：为什么我在 Wireshark 中输入域名作为过滤器没有任何反应？
A1： Wireshark 的显示过滤器是基于数据包协议字段工作的，而数据包在网络层传输时使用的是 IP 地址，不是域名，直接输入域名 Wireshark 无法识别，你需要使用特定的协议字段，如 dns.qry.name（针对 DNS 查询）、http.host（针对 HTTP）或 tls.handshake.extensions_server_name（针对 HTTPS 握手）来包裹你的域名，或者先将域名解析为 IP 地址后再使用 ip.addr 进行过滤。
Q2：如何过滤通过 CDN 加速的域名流量？
A2： CDN 域名通常会解析出多个动态变化的 IP 地址，直接使用 IP 过滤非常困难，最有效的方法是利用 TLS SNI 字段进行过滤，使用过滤器 tls.handshake.extensions_server_name == "your-cdn-domain.com"，这能捕获所有访问该 CDN 域名的 TLS 握手包，随后，你可以右键点击这些握手包，选择“会话过滤器” -> “TCP”，从而自动生成过滤该次特定连接所有数据包的表达式，无需关心背后的 IP 如何变化。
能帮助你更高效地使用 Wireshark 进行域名分析，如果你在实战中遇到了特殊的加密协议或更复杂的过滤场景，欢迎在评论区分享你的具体需求，我们可以一起探讨更深入的解决方案。
