开源全流量捕获工具Arkime 4 安装教程

如果你的日常工作和网络有关，大概遇到过这种场景：线上出了问题，想查某个时间段内到底有哪些连接、谁在跟谁通信、流量里有没有异常，但手头只有抓包工具，抓下来的文件翻几页就找不到了。Arkime 就是解决这类问题的工具——它把全流量抓下来、建索引、提供 Web 界面检索，本质上是一套可自建的全流量回溯系统。这门课讲的是它在 Ubuntu 上的安装与初步配置，属于「先把这个东西跑起来」的阶段。

这门课真正解决的是哪一步

Arkime 的前身是 Moloch，核心思路是把镜像流量落成 pcap 文件，再送进 Elasticsearch 建索引，最后由 viewer 提供一个网页界面供检索和会话还原。这套链路涉及组件不少：抓包进程、存储、索引、Web 展示，任何一环配错都跑不通。所以安装本身不是「下一步下一步」，而是理解各组件怎么串起来。

这门课把范围收在单主机部署上：单机安装、单机配置、把采集和存储放在一台机器里跑通。这个选择对学习是合理的——分布式部署牵扯的机器和网络条件太多，先在单机上把数据流打通，能看清楚 Arkime 的各个部分分别负责什么，后面再扩到多机才有判断依据。学完你能独立完成的，是在一台 Ubuntu 机器上搭出一套能抓包、能检索、能在浏览器里查看会话的平台。

适合什么基础的人看

• 已经接触过 tcpdump 或 Wireshark，知道 pcap 是什么、抓包大致怎么回事，但没做过长期的流量留存和检索。
• 会用 Ubuntu 的基本命令，能看懂配置文件，遇到报错知道去哪里翻日志。
• 需要在自己的实验环境或小规模内网里，搭一套能回查历史流量的工具。

如果你完全没有 Linux 命令行经验，或者对 Elasticsearch 一点概念都没有，这门课会有几处跟起来吃力，建议先把这两块补一补。反过来，如果你已经用 Ansible 批量部署过 Arkime 集群，这门课的内容对你偏基础。

安装之外，你能顺带搞清楚的事

安装过程本身会逼着你回答几个问题：流量从哪来（镜像口还是本机网卡）、pcap 存哪里、Elasticsearch 的索引怎么建、viewer 用什么账号连过去。把这些配置项走一遍，比单纯读文档更容易记住 Arkime 的架构。课程里也会涉及 Arkime 相比 Moloch 在高性能上的改进，以及基于容器的部署方式大致是什么样——这部分不一定当场动手，但能帮你判断以后要不要往那个方向走。

资料怎么用效率更高

建议按「先跑通、再拆解」的顺序来。第一遍不要纠结每个参数的含义，先把单机链路配通，看到 Web 界面里出现会话记录，这一步的成就感能支撑你继续往下。第二遍再回头逐项看配置，重点是采集接口、存储路径、索引和 viewer 的连接关系，边看边对照自己机器上的配置文件。

抓包和检索这类工具，光看不练基本留不下印象。最好准备一台能跑虚拟机的机器，造一点流量（浏览网页、传文件都行），然后自己去界面上按 IP、按端口、按时间检索，试试会话还原能不能把内容拼出来。遇到跑不通的地方，先看日志再搜报错，这个习惯比记住某个具体命令值钱。

最后提醒一点：全流量捕获意味着所有经过的流量都会落盘，存储占用增长很快，索引和磁盘空间需要提前规划。这门课带你搭起来的是实验环境，真用到生产网络里，容量、权限和合规这几件事得另行考虑。