显示过滤器解决什么问题

显示过滤器不会删除原始捕获内容，只决定当前列表展示哪些数据包，因此适合反复切换分析角度。它和抓包过滤器使用不同语法：前者可访问协议解析后的字段，后者在采集前工作。初学时可以先完整捕获，再用显示过滤器缩小范围。

IP、端口与协议过滤

ip.addr == 192.168.1.8
tcp.port == 443
udp.port == 53
dns
http.request
tls.handshake

ip.addr 同时匹配源地址和目的地址；如果只关心一个方向，可以使用 ip.src 或 ip.dst。协议名称本身也能作为条件，例如输入 dns 会显示所有被解析为 DNS 的数据包。

组合多个条件

使用 && 表示“并且”，使用 || 表示“或者”，使用 ! 排除条件。复杂表达式应使用括号明确优先级。例如 ip.addr == 192.168.1.8 && (dns || tls) 表示仅查看该主机的 DNS 或 TLS 流量。

按字段值与文本定位

许多协议都提供可比较字段。可以用 tcp.flags.reset == 1 寻找重置连接，用 http.response.code >= 400 查看错误响应。文本包含可使用 contains，正则匹配可使用 matches。过滤栏的自动补全会提示字段名和类型，绿色背景代表表达式可执行。

建议先按 IP 或会话缩小范围，再叠加协议字段。一次堆入过多条件容易遗漏真正相关的数据包。