Как установить Wireshark на Ubuntu 20.04

Wireshark (ранее Ethereal) — это Open Source анализатор пакетов для захвата и исследования сетевого трафика. Его используют сисадмины, специалисты по безопасности и исследователи по всему миру. Программа распространяется под GNU GPLv2 и поддерживает множество сетевых интерфейсов: Ethernet (IEEE 802.3), FDDI, Token Ring, IEEE 802.11 и другие. Доступны версии для Windows, macOS, Linux и UNIX.

Wireshark умеет: глубокий анализ трафика, захват в реальном времени, офлайн-анализ, чтение/запись разных форматов дампов. Сообщество организует конференции SharkFest для обмена практиками и обучению.

Что рассмотрим

• Быстрая установка из стандартного репозитория Ubuntu 20.04.
• Установка через официальный PPA для получения более свежих сборок.
• Настройка прав захвата пакетов без запуска Wireshark от root.
• Проверка версии и обновление.
• Рекомендации по безопасности, отладка и альтернативы.

Условия и краткие определения

• Захват пакетов — запись проходящих сетевых пакетов с интерфейса для их анализа.
• dumpcap — утилита, используемая Wireshark для захвата пакетов; лучше выдавать ей права, а не всему приложению Wireshark.

Метод 1: установка из стандартного репозитория Ubuntu

Ubuntu и большинство дистрибутивов Linux поставляют Wireshark в своих репозиториях. Сначала обновите список пакетов:

sudo apt update

Установите пакет Wireshark:

sudo apt install wireshark

Во время установки появится диалог с вопросом, разрешать ли не-суперпользователям захватывать пакеты. По умолчанию безопаснее отказать (No) и далее настроить права по одному из безопасных способов. Если вы разрешите — это упрощает работу, но увеличивает риски безопасности.

Первый запуск

Если запустить Wireshark без sudo сразу после установки, вы увидите список интерфейсов:

wireshark

Если интерактивно выбрать интерфейс, система может выдать ошибку «The capture session could not be initiated … insufficient permissions», потому что захват требует прав:

Чтобы временно обойти это, можно запустить Wireshark с sudo:

sudo wireshark

Проверьте текущую версию Wireshark:

wireshark -v

Если вам достаточно версии из репозитория Ubuntu, установка завершена. Если нужна более новая стабильная версия, используйте PPA.

Метод 2: установка через официальный PPA (более свежая версия)

Canonical и проект Wireshark поддерживают PPA с более свежими сборками. Добавьте PPA:

sudo add-apt-repository ppa:wireshark-dev/stable
sudo apt update
sudo apt install wireshark

После обновления репозиториев apt обновит пакеты и установит/обновит Wireshark. При обновлении вы также увидите диалог про права захвата — решите его по своей политике безопасности.

Запуск и проверка

Wireshark появится в меню приложений:

Однако без настройки прав запуск из графики может не позволить захват. Запустите из терминала с sudo или настройте права, как описано дальше:

sudo wireshark

Проверьте версию — после PPA она должна быть более новой, например 3.4.8:

Как разрешить захват пакетов без root — безопасные варианты

Важно: запуск Wireshark как root нежелателен. Лучше дать минимально необходимые права для утилиты захвата (dumpcap).

Вариант A — добавить пользователя в группу wireshark (если пакет установил такую группу):

sudo adduser $USER wireshark
# Перезапустите сессию: выйти и войти снова либо выполнить newgrp wireshark

Иногда нужно переустановить конфигурацию пакета:

sudo dpkg-reconfigure wireshark-common

Вариант B — дать правам исполняемому файлу dumpcap необходимые capabilities (предпочтительный метод):

sudo setcap cap_net_raw,cap_net_admin+eip $(which dumpcap)

Проверить capabilities:

getcap $(which dumpcap)

Преимущество setcap в том, что только dumpcap получает права на захват, а GUI Wireshark остаётся без повышенных привилегий.

Вариант C — использовать tshark или tcpdump как отдельные инструменты для захвата, а затем анализировать дампы в Wireshark в офлайн-режиме.

Проверка установки и примеры команд

• Проверить версию: wireshark -v.
• Запустить от текущего пользователя (после настройки прав): wireshark.
• Запустить с sudo (не рекомендуется): sudo wireshark.
• Сохранить дамп в файл: в GUI «Capture» → «Start» → «Save» или через tshark:

sudo tshark -i enp0s3 -w capture.pcapng

• Просмотреть файл: wireshark capture.pcapng или tshark -r capture.pcapng.

Рекомендации по безопасности и конфиденциальности

• Не давайте широкие права приложению Wireshark. Предпочтительно выдавать права отдельной утилите dumpcap.
• Захват пакетов может содержать личные данные и секреты (пароли, токены). Храните дампы в защищённом месте и удаляйте их после использования.
• Ограничьте доступ к машине и группе wireshark только доверенным администраторам.
• Для автоматизации сбора логов используйте отдельные сервисы логирования с централизованной политикой хранения.

Отладка и часто встреченные ошибки

• Ошибка «sufficient permissions»: пользователь не в группе wireshark и dumpcap не имеет capabilities. Решение: добавить в группу или выполнить setcap.
• Команда getcap возвращает пусто: назначьте capabilities через setcap.
• После добавления в группу — обязательно перезайдите в сессию, иначе группы не обновятся.
• Если дистрибутив не содержит последних функций: используйте официальный PPA или соберите из исходников.

Когда установка может не сработать

• Если система использует нестандартный менеджер пакетов или отключён интернет.
• Если отсутствуют зависимости kernel headers для специфических драйверов — редкий случай.
• Если политика безопасности организации запрещает захват трафика — получите согласование.

Альтернативы Wireshark

• tshark — консольная версия Wireshark для сценариев без GUI.
• tcpdump — лёгкий инструмент для захвата пакетов в терминале.
• ngrep — поиск по содержимому в реальном времени.
• С коммерческие решения для соответствия, масштабируемого мониторинга и длительного хранения пакетов.

Критерии приёмки

• Wireshark установлен и запускается командой wireshark без sudo после настройки прав.
• Захват пакетов возможен на выбранном интерфейсе и дамп сохраняется в файл.
• Проверка версии прошла успешно: wireshark -v показывает ожидаемую версию.
• dumpcap имеет назначенные capabilities или пользователь является членом группы wireshark.

Быстрый чек-лист для роли администратора

• Установить пакет: sudo apt install wireshark.
• Добавить PPA (по желанию): sudo add-apt-repository ppa:wireshark-dev/stable.
• Настроить права: sudo setcap cap_net_raw,cap_net_admin+eip $(which dumpcap).
• Проверить: getcap $(which dumpcap) и wireshark -v.
• Документировать доступ к дампам и удалить их после анализа.

Полезные команды — краткий справочник

Часто задаваемые вопросы

Можно ли запускать Wireshark как root?

Технически можно, но это повышает риски безопасности. Лучше назначать права только для dumpcap через setcap или использовать группу wireshark.

Как добавить пользователя в группу wireshark?

sudo adduser $USER wireshark
# Затем выйдите и войдите снова в сессию

Как вернуть настройки, если что-то пошло не так?

• Удалите capabilities: sudo setcap -r $(which dumpcap).
• Удалите PPA, если нужно: sudo add-apt-repository --remove ppa:wireshark-dev/stable и выполните sudo apt update.

Краткое резюме

Wireshark — мощный инструмент для анализа сети, легко устанавливается на Ubuntu 20.04 из стандартных репозиториев или через официальный PPA для более свежих версий. Для безопасного захвата пакетов рекомендуется выдавать права утилите dumpcap или добавлять пользователей в специализированную группу, а не запускать весь GUI от root.

Для подробностей и дополнительных материалов посетите официальный сайт Wireshark: https://www.wireshark.org

FAQ

Q: Что делать, если после установки Wireshark не видит интерфейсы?

A: Проверьте права для dumpcap и членство в группе wireshark; перезапустите сессию пользователя.

Q: Можно ли анализировать дампы, захваченные на другом компьютере?

A: Да. Перенесите pcap/pсapng файл и откройте его в Wireshark на локальной машине.

Q: Как безопасно хранить дампы?

A: Храните файлы в зашифрованных каталогах, ограничьте доступ и удаляйте ненужные файлы после анализа.