在使用网络打印机或扫描仪时，偶尔会遇到连接失败、打印任务卡住的问题。这时候光看设备指示灯没用，得深入网络通信层面查原因。捕获TCP数据包就是一种直接观察设备“说了什么话”的方法。
为什么需要捕获TCP数据包？
比如你点击打印，文件却一直挂在队列里不动。路由器正常，电脑也能上网，问题可能出在打印客户端和打印机之间的TCP通信上。通过捕获数据包，你能看到请求有没有发出去，打印机有没有回应，是握手失败还是数据传到一半断了。
常用工具：Wireshark 简单上手
Wireshark 是最常用的抓包工具，免费且支持 Windows、macOS 和 Linux。安装后打开，选择当前使用的网络接口（比如Wi-Fi或以太网），点“开始”就能捕获经过的所有流量。
为了不被其他应用的流量干扰，可以加过滤规则。比如你的打印机IP是 192.168.1.100，只看和它通信的数据包，可以在过滤栏输入：
tcp and host 192.168.1.100这样屏幕上就只显示和这台打印机相关的TCP交互过程。
怎么看懂关键信息？
抓包后你会看到一堆列表，每一行是一个数据包。关注几列：源IP、目标IP、协议、长度、信息内容。
打印操作通常走的是 IPP（Internet Printing Protocol），基于TCP 631端口。你可以过滤特定端口：
tcp.port == 631如果看到一堆“SYN”发出但没有“SYN-ACK”回应，说明连接建立失败，可能是防火墙拦了，或者打印机没开机。如果看到“PSH”标志的数据包发过去，但打印机没反应，那可能是固件处理异常。
保存与分享数据包
排查问题时，有时需要把证据交给技术支持。Wireshark 支持导出为 .pcap 文件。点“文件”→“保存”，选好范围，存下来就能发邮件提供了。
注意别把包含用户名密码的流量公开，抓包文件可能泄露敏感信息，发之前记得检查。
命令行方式：适合远程服务器
有些打印服务跑在Linux服务器上，不方便开图形界面。可以用 tcpdump 命令行工具抓包：
sudo tcpdump -i eth0 -w print_capture.pcap host 192.168.1.100 and port 631这条命令表示从 eth0 接口抓取与打印机通信的TCP流量，保存成文件。之后可以下载用Wireshark打开分析。
捕获TCP数据包不是黑客技术，而是运维中的常规手段。就像修车要听发动机声音，修网络也得“听”数据怎么传。掌握这个技能，下次打印机罢工，你就比别人多一双眼睛。