我已经发布了一个Beta Proxyman iOS（website）-一个使用NEPacketTunnelProvider和网络扩展的网络嗅探器，所以我可能有经验回答你的一些问题。
IP包，IP图，DNS，如何解析？
幸运的是，还有另一种方法来设置NEPacketTunnelProvider，以便为您提供HTTP消息，而不是IP包（它的级别太低，您必须处理解析器、DNS等）
HTTP消息更容易解析，因为有大量可靠的库（例如nodeJS的http-parser）
1.如何在iOS上构建网络嗅探器？
这是一个很难回答的问题，我会把它分成几个小块：
MitM/代理服务器
首先，您需要一个可以工作的MitM代理服务器，它能够代理和拦截HTTP/HTTPS流量。您可以使用SwiftNIO或CocoaAsyncSocket来实现它。
它是如何工作的？
通常，数据流可能如下所示：
互联网-〉iPhone-〉您的网络扩展（VPN）-〉转发到您的本地代理服务器（在网络扩展中）-〉Mitm/代理服务器开始拦截或监控流量-〉保存到本地数据库（在共享容器组中）-〉再次转发到目的地服务器。
从主应用程序中，您可以通过读取本地数据库来接收数据。
我们需要本地数据库的原因是网络扩展和主应用程序是两个不同的进程，因此它们无法像普通应用程序那样直接通信。
告诉我密码？
在Network扩展中，让我们在Host：Port启动一个代理服务器，然后初始化NetworkSetting，如示例所示：

private func initTunnelSettings(proxyHost: String, proxyPort: Int) -> NEPacketTunnelNetworkSettings {
    let settings: NEPacketTunnelNetworkSettings = NEPacketTunnelNetworkSettings(tunnelRemoteAddress: "127.0.0.1")

    /* proxy settings */
    let proxySettings: NEProxySettings = NEProxySettings()
    proxySettings.httpServer = NEProxyServer(
        address: proxyHost,
        port: proxyPort
    )
    proxySettings.httpsServer = NEProxyServer(
        address: proxyHost,
        port: proxyPort
    )
    proxySettings.autoProxyConfigurationEnabled = false
    proxySettings.httpEnabled = true
    proxySettings.httpsEnabled = true
    proxySettings.excludeSimpleHostnames = true
    proxySettings.exceptionList = [
        "192.168.0.0/16",
        "10.0.0.0/8",
        "172.16.0.0/12",
        "127.0.0.1",
        "localhost",
        "*.local"
    ]
    settings.proxySettings = proxySettings

    /* ipv4 settings */
    let ipv4Settings: NEIPv4Settings = NEIPv4Settings(
        addresses: [settings.tunnelRemoteAddress],
        subnetMasks: ["255.255.255.255"]
    )
    ipv4Settings.includedRoutes = [NEIPv4Route.default()]
    ipv4Settings.excludedRoutes = [
        NEIPv4Route(destinationAddress: "192.168.0.0", subnetMask: "255.255.0.0"),
        NEIPv4Route(destinationAddress: "10.0.0.0", subnetMask: "255.0.0.0"),
        NEIPv4Route(destinationAddress: "172.16.0.0", subnetMask: "255.240.0.0")
    ]
    settings.ipv4Settings = ipv4Settings

    /* MTU */
    settings.mtu = 1500

    return settings
}

然后启动VPN，

let networkSettings = initTunnelSettings(proxyHost: ip, proxyPort: port)

// Start
setTunnelNetworkSettings(networkSettings) { // Handle success }

然后将包转发到本地代理服务器：

let endpoint = NWHostEndpoint(hostname: proxyIP, port: proxyPort)
self.connection = self.createTCPConnection(to: endpoint, enableTLS: false, tlsParameters: nil, delegate: nil)

    packetFlow.readPackets {[weak self] (packets, protocols) in
        guard let strongSelf = self else { return }
        for packet in packets {
            strongSelf.connection.write(packet, completionHandler: { (error) in
            })
        }

        // Repeat
        strongSelf.readPackets()
    }

本地服务器可以从那里接收包，然后转发到目标服务器。
不要忘记保存所有的流量日志到本地数据库，然后通知主应用程序重新加载它。
最后一个问题：Charles代理在大多数情况下能够显示目标的主机名。我目前只能看到目的IP地址（这不是真正的目的IP地址，而是我的DNS服务器的地址）。我如何能够看到人类可读文本的主机名？Charles是否以某种方式执行nslookup？Charles是否从数据报中获得该信息？
由于我们不处理IP包，我们不需要实现DNS解析器。如果你需要一个DNS，你可以像下面的代码配置：

let dnsSettings = NEDNSSettings(servers: ["8.8.8.8", "1.1.1.1"])
    settings.dnsSettings = dnsSettings

当我们收到HTTP消息包时，您可以免费获得主机名（从请求的URL或主机头）
希望我的回答能对你有所帮助。