O wireshark tem um filtro para o campo Indicação do nome do servidor do TLS?
A resposta de Shawn E provavelmente é a resposta correta, mas minha versão do wireshark não tem esse filtro. Os filtros a seguir existem, no entanto:
Para verificar se o campo SNI existe:
ssl.handshake.extension.type == 0
ou
ssl.handshake.extension.type == "server_name"
Para verificar se uma extensão contém determinado domínio:
ssl.handshake.extension.data contains "twitter.com"
ssl.handshake.extensions_server_name
O novo Wireshark tem um menu de contexto R-Click com filtros.
Localize o Client Hello com o SNI para o qual você gostaria de ver mais dos pacotes relacionados.
Detalhar até o handshake / extensão: detalhes do server_name e, a partir do R-click, escolha Apply as Filter .
Veja o exemplo em anexo capturado na versão 2.4.4
Tags wireshark