Полезные фильтры Wireshark для разбора трафика

Подборка фильтров для быстрого поиска нужного трафика в большом дампе. IP: ip.addr == 10.0.0.1 (весь трафик хоста), !(ip.addr == 10.0.0.1) (всё, кроме хоста). TCP: tcp.flags.syn == 1 (пакеты с SYN), tcp.analysis.retransmission (ретрансмиссии). HTTP: http.response.code == 404 (ответы с ошибкой). TLS: tls.handshake.type == 1 (Client Hello). DNS: dns.resp.name == cnn.com (ответы для домена). Универсальный приём: frame contains keyword ищет по содержимому пакета, frame.len > 1000 отбирает крупные пакеты.