Wireshark

Wireshark расшифровывает сетевой трафик пакет за пакетом. Он считывает файлы захвата в форматах pcap и pcapng и представляет каждый кадр с протокольными уровнями, развернутыми в дерево — от Ethernet и IP через TCP или UDP до любого прикладного протокола, находящегося поверх них, причем необработанные байты отображаются рядом и подсвечиваются при выборе полей.

Язык его фильтров отображения — это то место, где выполняется большая часть работы: выражение, называющее хост, порт, протокол или сравнение полей, сужает тысячи кадров до интересующего разговора. Кадры, принадлежащие друг другу, можно отслеживать как собранный заново поток, а меню статистики суммируют разговоры, конечные точки, распределение протоколов и время отклика. Трафик TLS может быть расшифрован при предоставлении ключей сеанса, а для большого числа прикладных протоколов имеются выделенные анализаторы.

Описанный здесь пакет отмечен как не имеющий поддержки живого захвата, поэтому он работает с файлами, захваченными в другом месте, например, с помощью tcpdump или dumpcap на машине, которая видит трафик. Чтение существующего файла захвата не требует повышенных привилегий.