Sniffnet — 看清谁在联网、连去了哪里的流量监控工具
Sniffnet — 看清谁在联网、连去了哪里的流量监控工具
电脑用着用着就慢下来，风扇开始转，硬盘灯闪个不停。打开任务管理器，CPU 15%，内存 40%，看着都不高。切到「性能」页，网络那条线正往上爬。
再往下就查不动了。任务管理器只告诉你某个进程此刻吃了多少带宽。它连去了哪里、连的是谁家服务器、是不是在往外送东西，一句都没有。
想弄明白，多数人会去打开 Wireshark，然后被满屏的协议字段劝退。
Sniffnet 站在这两者中间。它不做深度包分析，只回答三个问题：谁在联网、连到了哪里、用了多少流量。
①它是什么
Sniffnet 是一款开源的网络流量监控工具。Rust 写的，界面用 iced 渲染，Windows、macOS、Linux 都有安装包。
开发者是 Giuliano Bellini，意大利人。项目最早是他读硕士时做的课题，后来慢慢长成社区项目，现在 GitHub 上有 4.1 万 Star。
许可采用 MIT 与 Apache-2.0 双授权，源码全公开。NLnet 的 NGI Zero Commons Fund、GitHub Accelerator、GitHub Secure Open Source Fund 都资助过这个项目。Windows 安装包 21MB，v1.5.1 是 2026 年 7 月发布的版本。
它不是杀毒软件，也不负责拦截。定位更接近一份体检报告：血流通不通、哪根管子堵了、谁在偷偷抽水，看图上写着。
②功能亮点
三栏并排，直接把程序名点出来
总览页右半边竖着三列：远端主机、服务、程序。同一段时间里，三列各自按流量排序，谁在前面谁占得多。
这一栏最实用。不用对着 pid 猜，Telegram、Chrome、thunderbird 这些名字直接显示，后面跟着字节数。左边那个圆环是本段时间的总收发量，黄色是下行，蓝色是上行。
截图里下行 59MB、上行 9.7MB，总量 69MB。程序那一列排前面的是 Chrome 24MB，往下是 thunderbird 15MB、zoom.us 6.6MB。心里立刻有数。
每条连接都能摊开
切到 Inspect 页，是一张可以筛选的表格：源地址、源端口、目标地址、目标端口、协议、服务、字节数。
上面那排过滤器支持按国家、域名、ASN、程序筛选。截图里筛的是 github.com，19 条连接一条条列出来，全是 443 端口、TCP、https，字节数精确到 KB。
想查「某个程序到底连了哪些地址」，用程序过滤器锁定它就行，不用记任何命令行参数。
国旗、域名和 ASN
每个远端 IP 前面带一面国旗，后面跟着所属组织，比如「Amazon.com, Inc.」「Google LLC」。鼠标移上去还能看到 ASN 和解析出来的域名。
地理定位和 ASN 数据来自 MaxMind 的离线库，随安装包一起分发，查询在本地完成，不上传任何东西。这点对在意隐私的人是个加分项。
6000 多种服务与协议
官方说能识别 6000 多种上层服务、协议，以及一部分木马和蠕虫的通信特征。识别出来的打标签，不认识的显示一个问号。
它替代不了专业安全设备，可日常判断「这个连接正不正常」够用了。
阈值提醒和 IP 黑名单
通知页可以设条件：某个程序开始传输、某个 IP 出现、每秒字节数超过设定值。
截图里那条「Bytes threshold exceeded」，阈值设的是每秒 100KB，触发时把当时贡献流量的主机和服务一并记了下来：github.com 107KB、Fastly 14KB、微软 2KB。事后回看，等于一份带时间戳的现场记录。
IP 黑名单可以导入，命中的连接会被高亮。v1.5.1 起支持 CIDR 网段，一次能圈一整段地址。
PCAP 导入导出
需要更深的分析，可以导出 PCAP 丢给 Wireshark。1.3.0 起支持导出，1.4.0 起支持导入 pcap、pcapng、cap 三种格式。
这个设计挺聪明：轻的先用它看，重的再交给专业工具，两边不冲突。
其他细节
26 种语言，含简体中文。最小化后继续监控，还有个缩略模式。内置多套主题，也能自己配色，下面这套紫色就是内置的。
③怎么用
Windows 上要装两个东西，顺序不能反。
第一步：装 Npcap
Sniffnet 抓包靠 Npcap 驱动，这是 WinPcap 的现代替代品。去 npcap.com 下载安装，安装过程中务必勾上「Install Npcap in WinPcap API-compatible Mode」，也就是以 WinPcap API 兼容模式安装。
这一步漏了，Sniffnet 能启动，但选不到任何网卡，界面会一直停在适配器选择页。
第二步：装 Sniffnet
从 GitHub Releases 下载 Sniffnet_Windows_x64.msi。ARM 设备（比如骁龙本的 Surface）选 arm64，很老的 32 位机器选 x86。双击安装，一路下一步。
第三步：选网卡
第一次启动会让你选要监控的适配器。插网线选以太网，用 WiFi 选无线网卡。开了代理、装了虚拟机或 Docker 的，列表里会多出几个虚拟网卡，别选错，选错了看不到真实流量。
第四步：看总览
默认进 Overview，等十几秒，曲线和三栏列表就有数据了。先看程序那一列，按流量排序，谁在跑一目了然。
第五步：按需过滤
想知道某个程序连了哪些地址，去 Inspect，用程序过滤器锁定它。想查某个国家的连接，用国家过滤器。想找某个 IP，直接填。
第六步：设提醒
通知页加规则。日常最有用的是两类：单连接速率超过某个值，以及黑名单 IP 出现。设完可以最小化，它在后台盯着。
几个容易踩的坑
需要管理员权限运行，普通权限抓不到包。
它只能看到连接的元数据，也就是 IP、端口、域名、流量这些外壳信息。HTTPS 的内容是加密的，它看不到，任何被动监听工具都看不到。这点必须说清楚，否则容易被想象成万能。
装 Npcap 相当于把整张网卡的视野交出去。一定从官方 GitHub Releases 下载，别用第三方下载站的「绿色版」「汉化版」，那类包能看到的范围和原版一模一样。
④用户怎么说
dev.to 上一位开发者写过自己半夜排查微服务的经历。当时有个服务每 30 秒连一次陌生的外部 IP，他折腾了半天，换成 Sniffnet 之后才看清：
"Within 2 minutes I’d already identified the destination IP, the port, and the volume. With Wireshark it would’ve taken me 15 minutes just to configure the right filters." （jtorchia，dev.to）
CSDN 上一位博主的用法更贴近日常：
"平时用电脑的时候，我经常想知道哪些程序在偷偷联网、流量都去了哪里。系统自带的网络监控功能太简陋，Wireshark 功能强但上手门槛高。" （九华山，CSDN）
台湾的 TechMoon 把它的边界说得最准：
"把它當成「本機流量的體檢報告」比較貼切，要動手術還是得交給 Wireshark。" （TechMoon 科技月球）
⑤下载与获取
官方发布页（GitHub Releases），Windows 三个架构都在这里：
https://github.com/GyulyVGC/sniffnet/releases
64 位 Windows 直接下这个（21MB，v1.5.1）：
https://github.com/GyulyVGC/sniffnet/releases/download/v1.5.1/Sniffnet_Windows_x64.msi
ARM 设备（骁龙本一类）用这个：
https://github.com/GyulyVGC/sniffnet/releases/download/v1.5.1/Sniffnet_Windows_arm64.msi
抓包驱动 Npcap，安装时记得勾选 WinPcap API 兼容模式：
夸克网盘文件夹（含 x64 安装包，链接指向文件夹）：
https://pan.quark.cn/s/0fcd3450577e
装之前提醒一句：先装 Npcap 并勾选兼容模式，再装 Sniffnet，顺序反了会多折腾一轮。
⑥写在最后
适合谁：想搞清楚后台谁在联网、带宽被谁占了、某个软件是不是在偷偷回传数据的人。也适合需要快速定位异常连接、但不想学 Wireshark 过滤语法的运维和开发。
不适合谁：需要看 HTTPS 明文、做协议级取证、重组 TCP 流的人。这些场景还是交给 Wireshark。
这类工具的价值不在抓坏人，而在把模糊的感觉变成可核对的数字。网速慢、风扇响、流量跑得快，先看一眼曲线和程序列，比凭印象重装系统靠谱得多。
📢 免责声明
- 本文所述工具仅供学习与交流使用，软件版权归原作者与发行方所有；
- 本站仅作推荐分享，不参与软件开发与销售，不提供任何破解、修改或授权服务；
- 下载请优先使用文中官方渠道；夸克网盘分享仅为便捷分发，版本与安全性请以官方为准；
- 本站不对软件的功能、安全性及使用后果作出保证，请自行评估风险后使用；
- 如本文内容或所涉资源侵犯了您的合法权益，请联系删除（评论区留言即可）。
支持正版软件，鼓励通过官方渠道获取更新与支持。