开源全流量捕获工具Arkime 4 安装教程

如果你在排查网络问题时，手上只有 tcpdump 和 Wireshark，遇到"流量已经过去了、但没人抓包"的场景就只能认栽。Arkime 解决的就是这类问题：它把全量流量持续落盘、建索引，事后还能像查日志一样把会话捞出来。这门课不讲原理长篇大论，只解决一件事——在 Ubuntu 上把 Arkime 4 装起来、跑通、能看到数据。

先确认你是不是真的需要它

Arkime 的前身是 Moloch，定位是大规模 PCAP 捕获与检索。它和你熟悉的抓包工具分工不同：Wireshark 适合"我现在就要看这一条流"，Arkime 适合"三天前那台机器的异常连接，现在翻出来看"。所以这门课更贴近安全分析、流量回溯、内网排障的场景，而不是日常改个 HTTP 请求头这种活儿。

反过来说，如果你只是想临时抓几十兆包看看协议字段，装 Arkime 属于用大炮打蚊子——它依赖 Elasticsearch（或 OpenSearch）做索引存储，部署成本不小。先想清楚这个前提，再决定要不要往下看。

装之前你该会的三件事

课程默认你有一定 Linux 底子，具体来说：

• 能在 Ubuntu 上熟练使用命令行，看得懂 systemd 服务状态，知道怎么改配置文件而不是靠图形界面点。
• 理解网卡抓包的基本概念，分得清什么是镜像流量、什么是混杂模式——否则后面配 capture 接口时会卡住。
• 对 Elasticsearch 有个最粗的认识：知道它是搜索引擎、要占内存、要开端口。Arkime 装不上，八成问题出在 ES 而不是 Arkime 本身。

这三样缺一个，装的过程都会变成照着命令敲、报错却看不懂。缺什么先补什么，别硬上。

真正要动手的环节

课程走的是单主机部署路线，这也是最适合练手的方式：一块网卡收镜像流量，捕获下来的数据以 PCAP 形式落盘，再送进 Elasticsearch 建索引，最后由 viewer 提供 Web 界面，局域网内其他机器也能访问。

听起来是一条直线，实际动手时几个点最容易出问题：Elasticsearch 的版本兼容性和内存参数、Arkime 初始化时对 ES 的写入权限、capture 与 viewer 两个组件的启动顺序、以及官网文档里常被忽略的网卡与目录权限设置。课程会把这些逐步拆开，而不是丢一个安装脚本让你自己猜。

关于 Docker：Arkime 4 支持容器化部署，但本课的主线是单机安装。先把单机跑通，理解各组件之间的数据流向，之后再上容器或集群会顺很多。跳过单机直接上容器，出问题时你会不知道是编排配置错了还是组件本身没起来。

看完应该能回答的问题

• Arkime 的 capture 和 viewer 各自负责什么，为什么可以分开部署？
• 流量从网卡进来，到能在 Web 界面里搜到，中间经过了哪几步？
• Elasticsearch 起不来或连不上时，先查哪些地方？
• 怎么确认捕获真的在工作，而不是界面打开了但一条数据都没有？
• 换到多主机或容器环境时，单机这套配置里哪些部分需要改？

如果你能顺畅答出前四个，这门课的目标就达到了；第五个是给你后续自己扩展留的口子。

适合怎么学

建议边看边在虚拟机里实操，不要只看不练。装完不算完，最好喂一点真实流量进去——哪怕是自己用另一台机器 ping、curl 产生的流量——然后去界面上试着按 IP、按协议检索一次。只有亲自搜到那条会话，你才算真正理解 Arkime 在做什么。

装完这一套，你就有了一个能长期留存流量、随时回溯的环境。后续无论是接安全告警、做流量基线，还是单纯想搞明白内网到底在跑什么，都有了可用的底座。