家里装了摄像头，想从外网访问，结果怎么也连不上。你可能已经设置了端口映射，但设备就是不响应。这时候，光靠猜可不行，得看看网络里到底发生了什么。网络数据包分析软件就是帮你“听诊”网络流量的工具。
为什么需要抓包？
端口映射的本质是让路由器把某个公网端口的请求转发到内网某台设备的指定端口上。比如你把公网的8080端口映射到了内网IP为192.168.1.100的电脑上。理论上，别人访问你的公网IP:8080，就应该看到那台电脑的服务。
但现实往往是：访问失败。可能是规则写错了，可能是防火墙拦了，也可能是请求根本就没到达路由器。这时候，打开Wireshark这类软件，在电脑上抓一下包，一切就清楚了。
用Wireshark看一眼真实流量
在目标电脑上运行Wireshark，选择正确的网卡开始监听。然后从外网发起一次访问尝试。如果数据包顺利到达，你会在列表里看到来源是你外网客户的IP，目标地址是你的内网IP，端口是8080。如果没看到任何记录，说明数据包压根没进来——可能是运营商封了端口，也可能是映射规则没生效。
反过来，如果你看到请求进来了，但电脑没有回应，那就要查本地服务是否正常、系统防火墙是否放行了该端口。有时候服务只绑定了127.0.0.1，导致外部无法访问，这种细节通过抓包能一眼发现。
过滤技巧很关键
网络流量很多，别被满屏的数据吓住。学会用过滤器缩小范围。比如只想看8080端口的TCP通信，就在过滤栏输入：
tcp.port == 8080如果知道对方IP是203.0.113.50，可以进一步缩小：
ip.src == 203.0.113.50 && tcp.port == 8080这样屏幕上只会显示相关的交互，有没有收到SYN握手包，有没有发出SYN-ACK回应，一目了然。
不只是Wireshark
Wireshark功能强，但对新手有点复杂。如果你只是想快速确认某个端口有没有被访问，可以用更轻量的工具。比如在Windows上用PowerShell执行：
Get-NetTCPConnection -LocalPort 8080这条命令能列出当前8080端口的连接状态。配合日志或简单脚本，也能判断是否有外部连接尝试。
Linux用户则常使用tcpdump。比如监听所有发往8080端口的数据包：
tcpdump -i any port 8080执行后只要有人访问你的公网IP:8080，终端就会实时打印出对应的数据包信息。适合远程调试服务器时使用。
实际案例：映射了却打不开网页
有位用户说他把树莓派的Web服务映射到了公网80端口，但别人访问IP地址总是超时。他自己在家用局域网地址访问却正常。我们让他在树莓派上运行tcpdump：
sudo tcpdump -i eth0 'port 80'结果发现，外网访问时tcpdump没有任何输出。说明请求根本没到达树莓派。再检查路由器，才发现他填的是“内部端口80”，但“外部端口”误写成了8080。别人访问的是80，自然收不到。改正确后立即通了。
这个例子说明，端口映射出问题，不能只盯着设置界面反复看。真正发生的事，藏在数据包里。
安全提醒别忽视
抓包工具能看到明文传输的内容，比如HTTP里的账号密码。所以不要在公共网络随意抓包，也不要将抓包文件直接发给别人分析，避免泄露隐私。建议只在必要时启用，并尽快关闭监听。