应用抓包过滤，选择Capture | Options，扩展窗口查看到Capture Filter栏。双击选定的接口，如下图所示，弹出Edit Interface Settints窗口。
下图显示了Edit Interface Settings窗口，这里可以设置抓包过滤条件。如果你确知抓包过滤条件的语法，直接在Capture Filter区域输入。在输入错误时，Wireshark通过红色背景区域表明无法处理过滤条件。最有可能的情况是，过滤条件中含有输入错误，或是使用了display filter的语法。
点击Capture Filter按钮查看并选择已保存的抓包过滤条件。
更多信息
抓取指定IP地址的数据流:
如果你的抓包环境下有很多主机正在通讯，可以考虑使用所观察主机的IP地址来进行过滤。以下为IP地址抓包过滤示例：
- host 10.3.1.1：抓取发到/来自10.3.1.1的数据流
- host 2406:da00:ff00::6b16:f02d：抓取发到/来自IPv6地址2406:da00:ff00::6b16:f02d的数据流
- not host 10.3.1.1：抓取除了发到/来自10.3.1.1以外的所有数据流
- src host 10.3.1.1：抓取来自10.3.1.1的数据流
- dst host 10.3.1.1：抓取发到10.3.1.1的数据流
- host 10.3.1.1 or 10.3.1.2：抓取发到/来自10.3.1.1，以及与之通讯的所有数据流，与10.3.1.2，以及与之通讯的所有数据流
- host www.espn.com：抓取发到/来自所有解析为www.espn.com的IP地址的数据流
抓取指定IP地址范围的数据流:
当你需要抓取来自/发到一组地址的数据流，可以采用CIDR(无类别域间路由，Classless Interdomain Routing)格式或使用mask参数。 - net 10.3.0.0/16：抓取网络10.3.0.0上发到/来自所有主机的数据流(16表示长度)
- net 10.3.0.0 mask 255.255.0.0：与之前的过滤结果相同
- ip6 net 2406:da00:ff00::/64：抓取网络2406:da00:ff00:0000(IPv6)上发到/来自所有主机的数据流
- not dst net 10.3.0.0/16：抓取除了发到以10.3开头的IP地址以外的所有数据流
- not src net 10.3.0.0/16：抓取除了来自以10.3开头的IP地址以外的所有数据流
- ip proto <protocol code>：抓取ip协议字段等于<protocol code>值的报文。如TCP(code 6), UDP(code 17), ICMP(code 1)。
- ip[2:2]==<number>：ip报文大小
- ip[8]==<number>：TTL(Time to Live)值
- ip[9]==<number>：协议值
- icmp[icmptype]==<identifier>: 抓取 ICMP代码等于identifier的ICMP报文, 如icmp-echo 以及 icmp-request。
| 
