16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Acasă
Nagios ș i Co
Zmeură
Reț ea IP
GStreamer
Cazare
Mes projets
Advertiseri
Contact

Mail
G+
Facebook
Twitter
RSS

Căutare pe acest blog

Capturarea ș i analizarea unui trafic de reț ea cu Wireshark

Date: 4/05/2011 | Catégories: Cod sursă deschis,Planet-libre,Reț ea| Tags: analiza,captură,tcpdump,tshar,wireshark

[Link] 1/20
16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

În cutia de unelte a administratorilor ș i arhitecț ilor de reț ea, uneltele de captare vin adesea la sfârș itul lanț ului, când toate celelalte soluț ii pentru
rezolvarea unei probleme a fost încercată. Într-adevăr, capturarea ș i analiza unui trafic de reț ea poate fi obositoare pentru o persoană neavizată ș i anevoioasă
a pune în aplicare pentru un specialist.

Aș adar, în acest articol vom explora câteva direcț ii care, sper eu, vă vor ajuta să vă orientaț i.

Ce este o captură de reț ea?

O captură de reț ea este o fotografie la un moment dat (sau pe o perioadă de timp t0/t1) a ceea ce trece printr-o reț ea informatică. Dacă alegem bine punctul de
captură, vom putea salva întregul trafic interesant pentru a-l analiza apoi cu mintea limpede.

O captură de reț ea pentru ce?

Principalele aplicaț ii ale capturării ș i analizei reț elei sunt:

identificarea fluxurilor de consumatori pe o conexiune Internet, WAN sau locală

caracterizarea traficului generat de o nouă aplicaț ie (de exemplu, înainte de un desfăș urare)
identificarea cauzelor unei probleme de performanț ă pe o reț ea (furtună de broadcast, problemă fizică pe un echipament)

Această listă este, desigur, departe de a fi exhaustivă...

Unde se desfăș oară captura de reț ea?

Este unul dintre punctele critice. Este într-adevăr necesar să te poziț ionezi într-un loc unde vei captura întregul trafic "interesant" în raport cu nevoile tale fără
pentru a salva gigaocte de informaț ii.

Pentru a analiza fluxurile unei legături WAN, cel mai simplu este să facem captura cât mai aproape de interfaț a de reț ea de ieș ire către această legătură. Dacă această legătură
nu este o conexiune Ethernet, aș a că va trebui să ne poziț ionăm în amonte de routerul care gestionează această conexiune.

Pentru a analiza o nouă aplicaț ie, cel mai simplu este să captură traficul pe unul dintre PC-urile client sau pe server în cazul unei arhitecturi.
client/serveur).

Pe un reț ea LAN comutată, puteț i fie să utilizaț i funcț iile de redundanț ă a portului la nivelul unui comutator central, fie să poziț ionaț i un bun vechi
HUB într-un loc strategic al reț elei dumneavoastră.

[Link] 2/20
16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Cum se face captura de reț ea?

Pentru a lua un exemplu simplu, vom captura trafic care trece printr-un router GNU/Linux (sau BSD). Acesta dispune de două interfeț e de reț ea. La
premieră pe partea LAN (eth0), a doua pe partea WAN (eth1). Începem mai întâi prin a instala Wireshark pe routerul său:

Exemple de instalare pe Ubuntu 10.04 LTS

sudo aptitude install wireshark

Dacă routerul nu dispune de o interfaț ă grafică, vom folosi tshark. Acest software permite capturarea traficului ș i generarea unui fiș ier care va fi utilizabil.
par WireShark pe o altă maș ină care dispune de o interfaț ă grafică.

Exemple de instalare pe Ubuntu 10.04 LTS

sudo aptitude install tshark

Apoi lansăm captura cu Wireshark pe interfaț a WAN (eth1):

[Link] 3/20
16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Putem apoi să salvăm captura efectuată de Wireshark mergând în meniul Fiș ier > Salvare. Atenț ie, Wireshark este lansat în mod implicit cu contul root, el
deci trebuie să faceț i această salvare într-un director accesibil utilizatorului dvs. standard (de exemplu, în /tmp/[Link]).

Sau cu TShark pe interfaț a WAN (eth1) salvând captura în fiș ierul /tmp/[Link]:

Începe captura:

sudo tshark -i eth1 -w /tmp/[Link]

Opreș te captura:

CTRL+C

Cum să analizezi captura de reț ea?

[Link] 4/20
16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Este nevoie de un PC pe care Wireshark să fie instalat (fie direct pe punctul dvs. de captură, fie pe un alt PC pe care aț i descărcat captura).
se poate observa că Wireshark este disponibil subGNU/Linux, BSD, Mac OS X ș i WindowsÎncepem prin a încărca captura din meniul Fiș ier > Deschidere
(/tmp/[Link]). Odată ce fiș ierul este încărcat, se poate observa că fereastra Wireshark este, în mod implicit, împărț ită în 3 secț iuni:

prima afiș ează o listă a pachetelor IP capturate

secunda oferă detalii despre pachetul IP selectat în prima secț iune
al treilea afiș ează conț inutul (în hexazecimal) al pachetului IP selectat în prima secț iune

Conform capturii dvs., poate fi util să aplicaț i un filtru care va afiș a doar anumite pachete. De asemenea, este posibil să efectuaț i această filtrare în timpul
prind mai mult din experienț ă, evit să fac asta pentru că putem pierde destul de multe lucruri...

Aș adar, pentru a implementa un filtraj (de exemplu, pentru a afiș a doar pachetele al căror adresă sursă este [Link]) trebuie să introduci filtrul în secț iune
Filtraț i apoi faceț i clic pe butonul Aplicare:

Capturarea și analiza traficului de rețea cu Wireshark 5/20

16/12/2018 Capturarea și analizarea unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Observaț ie: dacă fundalul zonei de introducere a filtrelor nu este verde, atunci este o eroare de sintaxă.

Lista exhaustivă a filtrelor de afiș are disponibile este disponibilăpe această pagină. Pentru un filtraj la nivel IP ne putem mulț umi cucette page là.

Este bineînț eles posibil să facem filtre un pic mai complexe, de exemplu:

([Link] == [Link]) && ([Link] == 46) && ([Link] != [Link])

Ce filtre va seulement afficher les paquets IP avec comme adresse IP source [Link], tagué avec un champs DSCP à EF (valeur décimale =
46) et care nu au ca adresă de destinaț ie [Link].

Un exemplu concret de A la Z
Pentru a ilustra mai concret utilizarea acestor filtre, vom captura ș i apoi analiza recuperareao pagină web pe blogul meuîncepând de la un
post client.

1. Aș adar, începem prin a deschide browserul pe staț ia client.

2. Apoi se deschide Wireshark pe staț ia client.
3. Începem captura pe interfaț a eth0 a staț iei client.
4. Facem surfingpe pagina în cauzăde pe un browser de internet. Aș teptăm ca pagina să se încarce complet.
5. Oprindem captura.

Ar trebui să ne regăsim astfel cu o captură bine (prea?) furnizată. Într-adevăr, maș inile noastre moderne fac destul de multe lucruri în fundal. Unele dintre acestea
acț iunile generează solicitări pe reț ea (verificarea prezenț ei actualizării sistemului, actualizarea [Link], cereri de reț ea pe LAN-ul dvs...)

Aș adar, vom începe prin a filtra traficul interesant care, reamintesc, este recuperarea unei pagini web de către browserul dvs. Ideea este de a construi filtrul
mic cu mic, eliminând cererile inutile ș i păstrându-le pe cele necesare pentru încărcarea corespunzătoare a paginii.

Începem prin a filtra pachetele al căror adresă sursă sau destinaț ie este propriul dvs. post client (în cazul meu, adresa IP a acestui client era
[Link]). Pentru a obț ine a ta, este suficient să foloseș ti comanda ifconfig.

Primul pachet din fluxul nostru ar trebui, în mod logic, să fie o rezolvare DNS a [Link](blogul meu pe care încarc pagina). Pe
vezi bine că această cerere a fost capturată, dar cu ea un trafic inutil înainte...

[Link] 6/20
16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Pachetul în cauză are numărul 27, aș a că vom modifica puț in filtrul pentru a afiș a doar pachetele a căror număr este > 26.

Aș a cum veț i vedea dacă faceț i testul, rămâne un număr foarte important de cereri pentru simpla încărcare a acestei pagini. Pentru a înț elege mai bine
Este, de asemenea, posibil să activaț i rezolunea numelui maș inilor atunci când vizualizaț i. În acest scop, trebuie să mergeț i în meniul Editaț i > Preferinț e...

Capturarea și analiza unui trafic de rețea cu Wireshark 7/20

16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Pentru a vedea lista completă a cererilor client/server, putem folosi funcț ia conversaț ie (menuStatistics > Conversations) din Wireshark care va
afiș aț i lista următoare:

De asemenea, putem utiliza instrumentele de analiză specifice pachetelor HTTP mergând în meniul Statistics > HTTP > Request...

[Link] 8/20
16/12/2018 Capturarea și analizarea traficului de rețea cu Wireshark - Blogul lui NicoLargo

Se observă bine că încărcarea unei singure pagini implică un număr foarte mare de cereri HTTP (TCP) pe reț ea ș i, prin urmare, că optimizarea ș i
limitarea acestor cereri va avea un impact semnificativ asupra timpului de încărcare al paginilor dvs.

Ș i dacă ș eful tău vrea grafice?

Ș eful îi plac graficele, este mai simplu să le încorporezi într-un PowerPoint. Din fericire, există o funcț ie care permite, de exemplu, să afiș eze ...
grafice aplicând acela ș i tip de filtre pe care le-am văzut în capitolul precedent.

Pentru aceasta, trebuie să mergi în meniul Statistics > Grafice IO.

În mod implicit, este filtrul de afiș are actual care va fi afiș at cu culoarea neagră corespunzătoare graficului nr. 1. Scara pe ordonată este în număr de pachete /
secunde.

[Link] 9/20
16/12/2018 Capturarea și analizarea traficului de rețea cu Wireshark - Blogul lui NicoLargo

Pentru a trece la biț i / secundă, trebuie să mergi la meniul Axa Y > Unitate > Biț i/Tick:

[Link] 10/20
16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Pentru a adăuga alte curbe cu filtre specifice, este suficient să introduceț i câmpurile Filtru, apoi să faceț i clic pe numărul de grafic corespunzător:

Capturarea și analiza unui trafic de rețea cu Wireshark 11/20

16/12/2018 Capturarea și analizarea unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Este, desigur, posibil să exportaț i graficele într-un format uș or integrabil într-un raport (BMP, JPG, PNG...) făcând clic pe butonul "Salvaț i".

Concluzie
Această bilă nu este decât o simplă introducere în analiza reț elelor, care este un subiect ce necesită cunoș tinț e solide despre reț elele IP. Nu ezitaț i să folosiț i...
comentariile următoare dacă aveț i întrebări suplimentare pe tema!

Partager ce billet

Tweet

[Link] 12/20
16/12/2018 Capturarea și analizarea unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Postări asociate

Tutorial Wireshark TShark, celălalt TCPtrack: urmăriț i-vă Instrumentul pentru măsurarea Distribuită XPlico, le
(ex Eteric) TcpDump conexiuni TCP de la QoS pe Monitorizare Nagioscompanion ideal de
reț ele IP ajutorul Mod- WireShark
Gearman

Despre nicolargo

Creator de blog de Nicolargo, sunt un susț inător al software-ului liber ș i un pasionat de noile tehnologii.
Urmăreș te-l pe @nicolargo pe TwitterAbonează-te la fluxul RSS al blogului

27 Comentarii Blogul lui Nicolargo 1 S'identifier

Recomandare tTweet fPartager Cei mai buni

Participa la discuție...

S'IDENTIFIER CU UNDE VĂ ÎNREGISTRAȚI PE DISQUS?

Nume

MingLiFoo•il y a 8 ans
[Link] 13/20
16/12/2018 Capturarea și analizarea unui trafic de rețea cu Wireshark - Blogul lui NicoLargo
MingLiFoo•acum 8 ani
Bună, poate cineva să-mi spună dacă un astfel de utilitar decodifică până la nivelul „caracterului” informații precum...
logins ou Passwords
Vă mulțumesc
7△ ▽ • Răspunde • Partajează ›

Ana Elana• acum 5 ani

Ce înseamnă un fișier pcap
△ ▽ • Răspunde • Partajează ›

Nicolas13•acum 6 ani
Bună ziua,
mă chinui cu Wireshark,

Cineva știe cum să logheze tot traficul IP fără a înregistra conținutul pachetelor?

Mulțumesc

Nicolas
△ ▽ • Răspunde • Împărtășește ›

linux1908•acum 7 ani
Bună seara, lucrez pe CentOS.
Vreau să fac un program în C care să servească la trimiterea unui pachet RTP schimbându-i antetul, cum ar fi, de exemplu, payload. (acest program ca
wireshark).
Te rog, poți să mă ajuți.
mulțumesc
△ ▽ • Răspunde • Partajează ›

Maiga Cheick Ismaelacum 7 ani

Bună seara
Mulțumesc pentru tutorial, Nico
sunt la început, așa că, dacă poți să-mi sugerezi alte tutoriale, m-ar bucura.
Bine ție
[Link]
olargo.▽ • Répondre •Partager ›
com/2011/05/[Link]
14/20
16/12/2018 Capturarea și analiza unui trafic de rețea cu Wireshark - Blogul lui NicoLargo
• Răspunde • Partajează ›

reț ea133•acum 7 ani

Bună ziua,
O întrebare mică: Cum pot afișa pe grafic (statistic apoi IO Graph) debitul de intrare și ieșire!!! Știu, sunt novic, dar sunt foarte interesat de acest lucru.
informații..
△ ▽ • Răspunde • Distribuie ›

leBlond•acum 7 ani
Bună ziua tuturor, vă rog, puteți să-mi spuneți cum să folosesc Wireshark cu NS3 pentru a analiza fișiere pcap?? Vă mulțumesc anticipat
△ ▽ • Răspunde • Distribuie ›

diengacum 7 ani
Am dificultăți în a porni Wireshark deoarece l-am instalat foarte bine.
△ ▽ • Răspunde • Distribuie ›

jasmin_knight•acum 8 ani
Bună seara...

Puteți să mă ajutați cu eseurile mele:

Iată situația, aș dori să stabilez teste pentru o videoconferință între 2 apoi 3 persoane, conectate pe site-uri diferite (rețea ip).
Scopul testului meu este de a detecta performanțele de:
Termenul, jitterul, rata de erori și rata de pierderi, referitoare la fluxul multimedia generat de o aplicație de videoconferință.
Valorile vor fi înregistrate și apoi prelucrate mai târziu.
care este problema?...ei bine, mi-ar plăcea să-mi explici cum este posibil să realizezi toate acestea cu Wireshark? cum este posibil
să izoleze exact fluxul conversației de la semnalizare până la închiderea sesiunii și apoi să extragă constrângerile pe care le am
indicată? Scopul final al testului meu este de a califica conexiunea mea și de a evalua performanțele unui serviciu comparând în cele din urmă rezultatele cu ...
valori standard pentru un minim de calitate?....

Îți mulțumesc că ai citit mesajul meu și voi fi încântat să primesc recomandările tale.
△ ▽ • Răspundeți • Partajați ›

Nicolas Hennion Mod > jasmin_knight• acum 8 ani

Sistemele de videoconferință folosesc protocolul RTP ca strat de transport. Acest protocol îți va furniza informațiile
Capturarea și analizarea unui trafic de rețea cu Wireshark 15/20
16/12/2018 Capturarea și analizarea unui trafic de rețea cu Wireshark - Blogul lui NicoLargo
de termene, animate, pachete pierdute...

Pentru a cere lui Wireshark să decodeze pachetele RTP, trebuie să selectați un pachet RTP, apoi să mergeți în submeniul "Decode As..."
apoi alege portul de destinație și, în cele din urmă, selectează RTP. Vei avea apoi acces la informațiile din meniul VoIP (sau ceva
ales așa).

Dacă nu reușești, pot scrie un articol pe acest subiect, nu ești primul care îmi vorbește despre asta.
△ ▽ • Răspunde • Distribuie ›

jasmin_knight> Nicolas Hennion• acum 8 ani

altceva, există pluginuri pentru Wireshark care îmbunătățesc aceste funcționalități?..de exemplu, caut să am o
traducere în română a acestor funcționalități, wé toată acest englez m- face să mă doară capul :), de asemenea, există pluginuri pentru
îmbunătățiți reprezentarea grafică a statisticilor?... dacă există, poți să mă ghidezi spre câteva URL-uri ;)

mulțumesc și trăiască open source.

△ ▽ • Răspunde • Distribuie ›

jasmin_knight> Nicolas Hennion• acum 8 ani

Îți mulțumesc pentru că ai răspuns la mesajul meu... în ceea ce privește biletul, mi-ar plăcea să am o descriere mai detaliată.
de utilizarea wireshark în acest subiect și mă întreb dacă este posibil să-l public în aceste zile, am cu adevărat nevoie...
încă o dată mulțumesc.
△ ▽ • Răspunde • Distribuie ›

toboudaacum 8 ani
Bună seara!
Aș dori să știu la ce sunt utile datele (adrese IP și MAC) ale gazdelor pe care Wireshark le capturează și dacă acestea arată cheile (WEP; WPA) ale rețelei?
△ ▽ • Răspunde • Distribuie ›

Nicolasacum 8 ani
Mulțumesc pentru acest tutorial, este destul de clar și pașii sunt bine structurați. Nu știam încă de Wireshark, dar testasem deja alte
sniffere și analizor de rețea. Consider că este foarte complet și cu adevărat ieftin ;)
△ ▽ • Răspunde • Distribuie ›

raoulitosacum 8 ani

Capturarea și analizarea unui trafic de rețea cu Wireshark 16/20

16/12/2018 Capturarea și analiza traficului de rețea cu Wireshark - Blogul lui NicoLargo
Bine, am încercat bine (ieri când articolul a apărut) dar fiecare comentariu postat a fost refuzat.
iată de ce "gestiune ciudată a comentariilor"
°_O
△ ▽ • Răspunde • Partajează ›

tchoutchouacum 8 ani
Ar fi interesant să lăsăm un link către acest articol:[Link]
tu în franceză :
[Link]

Aici se explică pașii de urmat pentru a evita să porniți Wireshark ca root.

△ ▽ • Răspunde • Partajează ›

informatique Grenobleacum 8 ani

Folosesc Wireshark pe macOS...

și sunt în căutarea unui filtru pentru a implementa o detectare automată a cuvintelor

asta permite să nu fie nevoie să monitorizăm constant jurnalele și să păstrăm doar ceea ce avem nevoie ...

multumesc anticipat, sub cron este si mai bine ...

sebastien
△ ▽ • Răspunde • Distribuie ›

raoulitosacum 8 ani
gestiune ciudată a comentariilor!!!
△ ▽ • Răspunde • Partajează ›

raoulitosacum 8 ani
Bonjour je sais pas si il y a doublons ou plus(vbox crash récursif), très bon article
pentru @Flyingup și cei pe care îi interesează
[Link]
[Link]
△ ▽ • Răspunde • Împărtășește ›
[Link] 17/20
16/12/2018 Capturarea și analizarea unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

zorgh•acum 8 ani
Mulțumesc, Nico, pentru acest articol complet și foarte interesant. Cu toate acestea, aș adăuga un punct de securitate: [Link]
△ ▽ • Răspunde • Împărtășește ›

raoulitosacum 8 ani
configurare wireshark
[Link]
[Link]
°_O
△ ▽ • Răspunde • Distribuie ›

Kaminski Jérémieacum 8 ani

Mulțumesc, Nico ;)

Sunt întotdeauna avid de sfaturi Wireshark!

În timpul formării mele, când aveam o problemă, formatorii noștri ne spuneau 2 cuvinte: Man! și Wireshark! (admin rețele noob inside ^^)

Am 2-3 sfaturi pe care le-aș împărtăși aici ;)

△ ▽ • Răspunde • Împărtășește ›

Patriceacum 8 ani
Bună, Nico,

Articol excelent care îmi va fi foarte util deoarece nu am avut niciodată timp să lucrez la filtre. Mulțumesc :)
△ ▽ • Răspunde • Partajează ›

Edouardacum 8 ani
O să fiu un pic cârcotaș, dar nu cred că este exact să vorbim despre "fotografie la un anumit moment t" -> din punct de vedere fizic, la un anumit moment t poți
a avea cel mai bine un pachet pe interfața ta de rețea.

Prefer formularea ta a doua (între t1 și t2) o captură de rețea ar semăna mai mult cu un film decât cu o fotografie!
△ ▽ • Răspunde • Împărtășește ›

[Link] 18/20
16/12/2018 Capturarea și analizarea traficului de rețea cu Wireshark - Blogul lui NicoLargo

Zburând în susacum 8 ani

Bună Nico,

Îmi pare rău pentru cererea mea anterioară ... încă dorm ...

Problemă rezolvată:

sudo wireshark, e ok.

Cu stimă,
Zburând
△ ▽ • Răspunde • Distribuie ›

Zburând în sus•acum 8 ani

Bună, Nico,

O întrebare, tocmai am instalat cea mai recentă versiune de Ubuntu pe laptopul meu. Am aplicat scriptul tău excelent de post-instalare ;-)

Deci am wireshark și aș dori să-l folosesc pe interfața wifi a laptopului meu (wlan0). Dar wireshark nu o propune.

Este normal sau este necesară o configurație specială?

Cu stimă,
Flyingup
△ ▽ • Răspunde • Distribuie ›

penthium2•acum 8 ani
mulțumesc pentru toate acestea, este adevărat că este foarte plăcut pentru o inițiere.
△ ▽ • Răspunde • Partajează ›

✉ Abonează-te d Adăugaț i Disqus pe site-ul dvs.! Adăugaț i Disqus Adăugaț i Règles de confidentialité de DisqusPolitique de confidentialitéVie Privée

Licenț ă
[Link] 19/20
16/12/2018 Capturarea și analizarea unui trafic de rețea cu Wireshark - Blogul lui NicoLargo

Cu excepț ia unei menț iuni speciale, conț inutul acestui site este distribuit sub licenț ăCreative Commons versiunea BY 3.0.

Aici se vorbeș te

noutăț i Blog linuxmacnagiossurse deschisesistemubuntu Webwordpress

Informaț ii

Open-source&Co din 2006

Email: contact {a} nicolargo {dot} com

Twitter:@nicolargo
Rss:[Link]

[Link] 20/20