在 Debian 系统中使用 dumpcap（Wireshark 抓包工具的后端）时，通常因为普通用户没有权限访问网络接口而需要“提权”或赋予抓包权限。这里说明合法且安全的做法，不涉及系统非法提权。
dumpcap 需要 CAP_NET_RAW 和 CAP_NET_ADMIN 权限才能抓包。
默认只有 root 可以直接使用。
Debian 安装 Wireshark 时会创建 wireshark 组。
sudo apt install wireshark
将当前用户加入 wireshark 组：
sudo usermod -aG wireshark $USER
注销并重新登录，然后即可直接使用：
dumpcap -i eth0
✅ 不需要 root
✅ 安全、可审计
仅授予抓包所需权限，而不是完整 root：
sudo setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap
验证：
getcap /usr/bin/dumpcap
之后普通用户可直接运行：
dumpcap -i any
sudo dumpcap -i eth0
⚠️ 仅用于调试，不建议常规使用。
Couldn't run /usr/bin/dumpcap in child process: Permission denied
→ 用户未加入 wireshark 组或未设置 capability
dumpcap -D
若无权限会为空，用上面方法修复。
✅ 优先：wireshark 组
✅ 其次：setcap
❌ 避免：长期 root 使用
如果你需要 systemd 服务方式运行 dumpcap 或 远程抓包，也可以继续问我。
