Wireshark MCP: разбор дампов .pcap агентом в Claude Code и Cursor

bx33661/Wireshark-MCP· Проверено 12.11.2026· 398на GitHub

Даёт агенту tshark: открыть дамп .pcap, посчитать разговоры и протоколы, проследить поток, найти DNS-туннель или маяки и снять трафик с интерфейса.

3 реализации:

54 инструмента: статистика, детекторы атак, расшифровка TLS и WPA, индекс DuckDB для дампов в гигабайты и файлы расследования.

Как подключить

Что сделать до подключения

Python 3.10 или новее

Wireshark с командой tshark в PATH

Пакет сервера: pip install wireshark-mcp, для больших дампов pip install 'wireshark-mcp[index]'

Конфиг для вашего клиента

Команда в терминале, в папке проекта. Флаг --scope user подключит сервер для всех проектов. Подробно о Claude Code

claude mcp add --env 'WIRESHARK_MCP_ALLOWED_DIRS=<папки с дампами через запятую>' --transport stdio wireshark \
  -- wireshark-mcp

Проверка: claude mcp list показывает статус рядом с каждым сервером: ✔ Connected, ! Needs authentication или ✘ Failed to connect. Внутри сессии то же видно по команде /mcp.

Файл ~/.codex/config.toml или .codex/config.toml в доверенном проекте. Можно и командой codex mcp add. Подробно о Codex

[mcp_servers.wireshark]
command = "wireshark-mcp"
args = []

[mcp_servers.wireshark.env]
WIRESHARK_MCP_ALLOWED_DIRS = "<папки с дампами через запятую>"

Проверка: В интерфейсе codex введите /mcp: появится список активных серверов. Из терминала то же покажет codex mcp list.

Файл ~/.cursor/mcp.json для всех проектов или .cursor/mcp.json в папке проекта. Подробно о Cursor

{
  "mcpServers": {
    "wireshark": {
      "command": "wireshark-mcp",
      "args": [],
      "env": {
        "WIRESHARK_MCP_ALLOWED_DIRS": "<папки с дампами через запятую>"
      }
    }
  }
}

Проверка: Откройте Customize в боковой панели: там список серверов с переключателями. Ошибки подключения смотрите в панели Output (Cmd+Shift+U), пункт MCP Logs в выпадающем списке.

Файл .mcp.json в корне проекта или ~/.copilot/mcp-config.json для всех проектов. Подробно о VS Code

{
  "mcpServers": {
    "wireshark": {
      "type": "stdio",
      "command": "wireshark-mcp",
      "args": [],
      "env": {
        "WIRESHARK_MCP_ALLOWED_DIRS": "<папки с дампами через запятую>"
      }
    }
  }
}

Проверка: Попросите Copilot выполнить безобидную задачу через сервер и раскройте вызов инструмента в чате. Одна запись в конфиге подключение не подтверждает.

Файл ~/.qwen/settings.json или .qwen/settings.json в проекте. Подробно о Qwen Code

{
  "mcpServers": {
    "wireshark": {
      "command": "wireshark-mcp",
      "args": [],
      "env": {
        "WIRESHARK_MCP_ALLOWED_DIRS": "<папки с дампами через запятую>"
      }
    }
  }
}

Проверка: Запустите qwen и введите /mcp: откроется окно управления серверами. Из терминала статус покажет qwen mcp list.

Файл ~/.gemini/settings.json или .gemini/settings.json в проекте. Подробно о Gemini CLI

{
  "mcpServers": {
    "wireshark": {
      "command": "wireshark-mcp",
      "args": [],
      "env": {
        "WIRESHARK_MCP_ALLOWED_DIRS": "<папки с дампами через запятую>"
      }
    }
  }
}

Проверка: gemini mcp list показывает каждый сервер, его настройки и статус Connected или Disconnected. В сессии /mcp выводит CONNECTED, CONNECTING или DISCONNECTED и список инструментов.

Файл opencode.json в папке проекта или ~/.config/opencode/opencode.json. Подробно о OpenCode

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "servers": {
      "wireshark": {
        "type": "local",
        "command": ["wireshark-mcp"],
        "environment": {
          "WIRESHARK_MCP_ALLOWED_DIRS": "<папки с дампами через запятую>"
        }
      }
    }
  }
}

Проверка: opencode mcp list показывает состояние каждого сервера, подключённый выглядит как ✓ context7 connected. Внутри OpenCode то же видно в /mcps.

Настройки → Разработчик → Изменить конфиг: файл claude_desktop_config.json. После правки перезапустите приложение. Подробно о Claude Desktop

{
  "mcpServers": {
    "wireshark": {
      "command": "wireshark-mcp",
      "args": [],
      "env": {
        "WIRESHARK_MCP_ALLOWED_DIRS": "<папки с дампами через запятую>"
      }
    }
  }
}

Проверка: Нажмите «Add files, connectors, and more /» в левом нижнем углу поля ввода, наведите на Connectors и откройте Manage connectors. Выберите сервер, чтобы увидеть его инструменты.

Вкладка Program → Install → Edit mcp.json. Подробно о LM Studio

{
  "mcpServers": {
    "wireshark": {
      "command": "wireshark-mcp",
      "args": [],
      "env": {
        "WIRESHARK_MCP_ALLOWED_DIRS": "<папки с дампами через запятую>"
      }
    }
  }
}

Проверка: Попросите модель в чате выполнить задачу через инструмент сервера. Через API сервер из mcp.json вызывают по id в integrations, например mcp/playwright.

Инструменты сервера

wireshark_open_fileоткрывает дамп и описывает его

wireshark_quick_analysisделает быстрый разбор дампа

wireshark_get_packet_listвыводит список пакетов

wireshark_get_packet_detailsраскрывает пакет по полям

wireshark_search_packetsищет пакеты

wireshark_follow_streamсобирает поток целиком

wireshark_extract_http_requestsвыбирает HTTP-запросы

wireshark_extract_dns_queriesвыбирает DNS-запросы

wireshark_extract_fieldsвытаскивает нужные поля

wireshark_aggregateсчитает распределения по всему дампу

wireshark_stats_conversationsпоказывает разговоры узлов

wireshark_stats_expert_infoсобирает предупреждения tshark

wireshark_extract_credentialsищет пароли в открытом виде

wireshark_detect_dns_tunnelищет DNS-туннель

wireshark_detect_beaconingищет периодические маяки

wireshark_analyze_protocolразбирает один из 25 протоколов

wireshark_decrypt_tlsрасшифровывает TLS по ключам

wireshark_captureснимает живой трафик

wireshark_indexстроит индекс DuckDB по дампу

wireshark_caseведёт файл расследования

Показано 20 из 54.

14 инструментов без лишнего: сводка дампа, фильтры, потоки TCP и UDP, экспорт в JSON и разбор IEC 61850 для подстанций.

Как подключить

Что сделать до подключения

Python 3.10 или новее

Wireshark с командой tshark в PATH

Пакет сервера: pip install mcp-wireshark

Конфиг для вашего клиента

Команда в терминале, в папке проекта. Флаг --scope user подключит сервер для всех проектов. Подробно о Claude Code

claude mcp add --transport stdio mcp-wireshark \
  -- mcp-wireshark

Файл ~/.codex/config.toml или .codex/config.toml в доверенном проекте. Можно и командой codex mcp add. Подробно о Codex

[mcp_servers.mcp-wireshark]
command = "mcp-wireshark"
args = []

Файл ~/.cursor/mcp.json для всех проектов или .cursor/mcp.json в папке проекта. Подробно о Cursor

{
  "mcpServers": {
    "mcp-wireshark": {
      "command": "mcp-wireshark",
      "args": []
    }
  }
}

Файл .mcp.json в корне проекта или ~/.copilot/mcp-config.json для всех проектов. Подробно о VS Code

{
  "mcpServers": {
    "mcp-wireshark": {
      "type": "stdio",
      "command": "mcp-wireshark",
      "args": []
    }
  }
}

Файл ~/.qwen/settings.json или .qwen/settings.json в проекте. Подробно о Qwen Code

{
  "mcpServers": {
    "mcp-wireshark": {
      "command": "mcp-wireshark",
      "args": []
    }
  }
}

Файл ~/.gemini/settings.json или .gemini/settings.json в проекте. Подробно о Gemini CLI

{
  "mcpServers": {
    "mcp-wireshark": {
      "command": "mcp-wireshark",
      "args": []
    }
  }
}

Файл opencode.json в папке проекта или ~/.config/opencode/opencode.json. Подробно о OpenCode

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "servers": {
      "mcp-wireshark": {
        "type": "local",
        "command": ["mcp-wireshark"]
      }
    }
  }
}

{
  "mcpServers": {
    "mcp-wireshark": {
      "command": "mcp-wireshark",
      "args": []
    }
  }
}

Вкладка Program → Install → Edit mcp.json. Подробно о LM Studio

{
  "mcpServers": {
    "mcp-wireshark": {
      "command": "mcp-wireshark",
      "args": []
    }
  }
}

Инструменты сервера

check_installationпроверяет tshark и версию

list_interfacesперечисляет сетевые интерфейсы

read_pcapчитает пакеты из дампа

display_filterприменяет фильтр отображения

summarize_pcapсводит дамп: протоколы и активные узлы

stats_by_protoсчитает иерархию протоколов

follow_tcpсобирает TCP-поток

follow_udpсобирает UDP-поток

expert_infoгруппирует предупреждения по важности

decode_protocolвыводит поля протокола таблицей

protocol_statsстроит отчёты разговоров и узлов

analyze_iec61850проверяет трафик GOOSE, SV и MMS

live_captureснимает трафик с интерфейса

export_jsonвыгружает пакеты в JSON

Запускается из исходников и отдаёт инструменты по SSE на локальном порту 3000, описание только на китайском.

Как подключить

Что сделать до подключения

Python 3.9 или новее и Wireshark с tshark в PATH

Склонировать репозиторий и выполнить pip install -r requirements.txt

Запустить сервер командой python wireshark_mcp.py и держать окно открытым

Конфиг для вашего клиента

Команда в терминале, в папке проекта. Флаг --scope user подключит сервер для всех проектов. Подробно о Claude Code

claude mcp add --transport http wireshark-mcp http://127.0.0.1:3000/

Файл ~/.codex/config.toml или .codex/config.toml в доверенном проекте. Можно и командой codex mcp add. Подробно о Codex

[mcp_servers.wireshark-mcp]
url = "http://127.0.0.1:3000/"

Файл ~/.cursor/mcp.json для всех проектов или .cursor/mcp.json в папке проекта. Подробно о Cursor

{
  "mcpServers": {
    "wireshark-mcp": {
      "url": "http://127.0.0.1:3000/"
    }
  }
}

Файл .mcp.json в корне проекта или ~/.copilot/mcp-config.json для всех проектов. Подробно о VS Code

{
  "mcpServers": {
    "wireshark-mcp": {
      "type": "http",
      "url": "http://127.0.0.1:3000/"
    }
  }
}

Файл ~/.qwen/settings.json или .qwen/settings.json в проекте. Подробно о Qwen Code

{
  "mcpServers": {
    "wireshark-mcp": {
      "httpUrl": "http://127.0.0.1:3000/"
    }
  }
}

Файл ~/.gemini/settings.json или .gemini/settings.json в проекте. Подробно о Gemini CLI

{
  "mcpServers": {
    "wireshark-mcp": {
      "httpUrl": "http://127.0.0.1:3000/"
    }
  }
}

Файл opencode.json в папке проекта или ~/.config/opencode/opencode.json. Подробно о OpenCode

{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "servers": {
      "wireshark-mcp": {
        "type": "remote",
        "url": "http://127.0.0.1:3000/"
      }
    }
  }
}

Customize → Connectors → добавить свой коннектор.
Адрес сервера: http://127.0.0.1:3000/

Вкладка Program → Install → Edit mcp.json. Подробно о LM Studio

{
  "mcpServers": {
    "wireshark-mcp": {
      "url": "http://127.0.0.1:3000/"
    }
  }
}

Инструменты сервера

get_packet_statisticsсчитает общую статистику дампа

io_statсчитает трафик по интервалам

conversation_statsсводит разговоры по IP

extract_fieldsвытаскивает нужные поля

analyze_pcapразбирает выборку пакетов

analyze_protocolsразбирает пакеты протокола

analyze_errorsищет ошибочные пакеты

Что попросить агента

«Разбери <файл.pcap>: сначала общая картина, потом посчитай распределения и запиши выводы в report.md»Агент вызовет wireshark_open_file, wireshark_quick_analysis и wireshark_aggregate

«Найди в <файл.pcap> DNS-запросы к подозрительным доменам»Агент вызовет wireshark_extract_dns_queries и wireshark_detect_dns_tunnel

«Покажи из <файл.pcap> только HTTP-запросы»Агент вызовет display_filter с фильтром http.request или wireshark_extract_http_requests

«Проследи TCP-поток 0 в <файл.pcap> и скажи, какой в нём протокол»Агент вызовет follow_tcp или wireshark_follow_stream

«Сними 30 секунд трафика на Wi-Fi с фильтром tcp.port == 443»Агент найдёт интерфейс через list_interfaces и запустит live_capture

Для каких задач

Разобрать незнакомый дамп .pcap: кто с кем говорил и какие протоколы занимают трафик

Найти в захвате DNS-туннель, сканирование портов, маяки и пароли в открытом виде

Проследить TCP-поток и сказать, что в нём передавалось

Снять трафик с интерфейса с фильтром, например 30 секунд по tcp.port == 443

Выгрузить нужные пакеты в JSON или отдельный pcap

Ограничения

Сам Wireshark сервер не ставит: нужен tshark в PATH, для захвата на Linux — права группы wireshark, на macOS — ChmodBPF

У Wireshark MCP от bx33661 инструменты, которые пишут файлы, отказываются работать, пока в WIRESHARK_MCP_ALLOWED_DIRS не указаны существующие папки

mcp-wireshark режет выдачу до 10 000 пакетов за вызов, захват — до 5 минут

Вариант jayimu: 75 звёзд, последнее обновление в феврале 2026 года, инструкция только на китайском

Если не работает

На Windows сервер пишет, что tshark не найден

Добавьте C:\Program Files\Wireshark в системный Path, перезапустите терминал и клиент, затем вызовите check_installation. Передавать PATH через --env не стоит: %PATH% там не раскрывается.

На Linux захват падает с Permission denied

Добавьте себя в группу wireshark командой sudo usermod -aG wireshark $USER и войдите в систему заново.

live_capture возвращает No packets captured

Возьмите имя интерфейса из list_interfaces: у Wireshark они отличаются от ifconfig и ip. На macOS поставьте ChmodBPF из образа Wireshark и проверьте, что фильтр не отсекает всё.

Инструменты захвата и записи в Wireshark MCP отказываются работать

Начиная с версии 3.0 они закрыты, пока WIRESHARK_MCP_ALLOWED_DIRS не указывает на существующие папки. Задайте переменную в env сервера.

Клиент с окном не видит tshark, хотя в терминале он есть

Такие клиенты часто не наследуют PATH оболочки. Запустите wireshark-mcp doctor и сгенерируйте конфиг командой wireshark-mcp config: в него попадут полные пути к утилитам.

Какую реализацию выбрать

Реализация	Кто делает	Звёзды	Запуск	Ключ	Инструменты	Обновлён
Wireshark MCP	bx33661	398	локально	не нужен	54	1 ноября 2026
mcp-wireshark	khuynh22	69	локально	не нужен	14	12 ноября 2026
Wireshark MCP (jayimu)	jayimu	75	HTTP	не нужен	7	4 февраля 2026

Частые вопросы

Агент сможет снимать трафик в реальном времени?

Да: в Wireshark MCP это wireshark_capture, в mcp-wireshark — live_capture с потолком 5 минут или 10 000 пакетов. Нужны права на захват: на Linux добавьте себя в группу wireshark.

Как не забить контекст агента огромным дампом?

Wireshark MCP обрезает ответ длиннее 8000 знаков, листать дальше можно через offset, limit и display_filter. Для файлов в гигабайты поставьте дополнение [index]: wireshark_index один раз раскладывает дамп в DuckDB.

Можно отдать агенту только чтение, без записи файлов?

В Wireshark MCP запустите сервер с аргументами serve --profile core: останутся 34 инструмента без захвата, записи и расшифровки. Профиль analysis оставляет 42 инструмента.

Расшифрует ли сервер HTTPS в дампе?

В Wireshark MCP есть wireshark_decrypt_tls и wireshark_decrypt_wpa, а wireshark_verify_ssl_decryption проверяет, что расшифровка сработала.

Как подключить Wireshark MCP к Codex?

Поставьте пакет pip install wireshark-mcp и выполните wireshark-mcp install --client codex: установщик сам допишет конфиг. Вручную готовый фрагмент TOML выдаёт wireshark-mcp config --format codex-toml, он же есть во вкладке Codex в блоке «Как подключить».

Какой Wireshark MCP выбрать?

Wireshark MCP от bx33661 закрывает расследования: детекторы, расшифровка, индекс для больших дампов. В mcp-wireshark 14 инструментов против 54, зато есть разбор IEC 61850 для подстанций.

Работает ли сервер из России?

Сервер и tshark работают на вашем компьютере, ключи и зарубежные аккаунты не нужны.

Wireshark MCP: разбор дампов .pcap агентом в Claude Code и Cursor

Как подключить

Что сделать до подключения

Конфиг для вашего клиента

Инструменты сервера

Как подключить

Что сделать до подключения

Конфиг для вашего клиента

Инструменты сервера

Как подключить

Что сделать до подключения

Конфиг для вашего клиента

Инструменты сервера

Что попросить агента

Для каких задач

Ограничения

Если не работает

Какую реализацию выбрать

Частые вопросы

Похожие серверы