Wireshark

Page last edited 1 832 giorni 12 ore fa
Da wiki.betaingegneria.it.

File:Wireshark.png

Wireshark[modifica]

Software per analizzare il traffico di rete in tutto lo stack TCP/IP (dal cavo ethernet all'applicazione).

Come impostare una acquisizione (o cattura)[modifica]

L'esperienza che si può avere catturando i pacchetti la prima volta può variare da "semplicemente funziona" a "problemi molto strani". Per evitare fastidi, il seguente manuale ti dà una guida passo-passo attraverso questo processo.

I passi descritti in questa guida dipendono l'uno dall'altro per evitare combinazioni di problemi che sono difficili da rintracciare nel loro complesso.

Per questo motivo è una buona idea seguire questa guida letteralmente passo-passo (non iniziate a leggere in mezzo)!!!

Fase 1: Siete autorizzati a farlo?[modifica]

In questa fase: Assicurati di avere il permesso di fare quello che stai per fare!

  • Assicurati che tu abbia il permesso di catturare i pacchetti dalla rete in cui stai lavorando! Per esempio, le policy di sicurezza aziendali o la legge vigente potrebbero impedire la cattura dalla rete che si sta utilizzando!
  • Se devi modificare il cablaggio della rete per iniziare una acquisizione, assicurati di poterlo fare! Gli amministratori di rete e altre persone di solito non si divertono a dover risistemare la "loro" rete.

Fase 2: Impostazioni Generali[modifica]

Assicurati di aver meditato sulla fase 1!

In questo passaggio: installazione e configurazione della macchina per essere in grado (ed avere sufficienti permessi) per catturare.

  • /CaptureSupport - il sistema operativo deve supportare la cattura dei pacchetti: ad esempio,il supporto per l'acquisizione è abilitato / un driver di cattura è stato installato.
  • /CapturePrivileges - è necessario disporre di privilegi sufficienti per catturare i pacchetti, ad esempio, privilegi speciali che consentono l'acquisizione come un utente normale (preferibilmente) o root / privilegi di amministratore
  • Manuale dell'utente sulle Time Zones Le impostazioni data e ora del tuo computer e le impostazioni di fuso orario dovrebbero essere quelle corrette, affinché le marcature temporali catturate possano essere significative.

Fase 3: Acquisire il traffico "ricevuto" e "inviato" dal computer locale[modifica]

Assicurati di aver finito il passaggio 2! In questa fase: Acquisire "il tuo traffico locale" è il modo più semplice per effettuare la tua prima cattura di traffico. Il traffico da e verso il computer locale è ovviamente a disposizione indipendentemente dalla topologia di rete, quindi non c'è bisogno di preoccuparsi per la topologia, per ora. Scegli l'interfaccia da cui acquisire il traffico (vedi /NetworkInterfaces) e inizia la cattura. Per evitare eventuali effetti collaterali, non usare alcuna funzione avanzata come filtri di cattura o file multipli, per ora. Ora, dopo l'arresto dell'acquisizione, dovresti vedere almeno una parte del traffico della rete! Dai un'occhiata ai pacchetti catturati e assicurati di aver catturato il traffico sia in entrata che in uscita prima di passare alla fase successiva!

Risoluzione dei problemi:[modifica]

Se ci sono ancora problemi dopo aver verificato quanto sopra, si può cercare di capire se è un problema di Wireshark o un problema del driver. Cerca di catturare con tcpdump / WinDump - se così funziona allora è un problema Wireshark - altrimenti è un problema legato a libpcap / WinPcap o al driver della scheda di rete.

Fase 4: Cattura il traffico destinato per le macchine diverso dal proprio[modifica]

Assicurati di aver finito 3 step con successo!

In questa fase: il traffico di cattura che non è destinato per la vostra macchina locale.

Assicurati di acquisire da una posizione della rete attraverso cui passerà tutto il traffico rilevante:

  • /NetworkTopology - scegli il posto giusto nella topologia della tua rete al fine di ottenere il traffico di rete richiesto.
  • /NetworkMedia - ci potrebbero essere limitazioni specifiche ai supporti di rete (/Ethernet, /PPP, ...)
  • Modo promiscuo - deve essere acceso (questo potrebbe non funzionare con alcune schede WLAN su Win32!)

Fase 5: Cattura il traffico usando una macchina remota[modifica]

Assicurati di aver completato il punto 4 con successo!

In questa fase: non utilizzare la macchina locale per acquisire il traffico come nei passaggi precedenti, ma usa una macchina remota per farlo.

La cattura in remoto è attualmente molto limitata:

  • /Pipes - utilizza una pipe UNIX e uno strumento diverso per acquisire il traffico
  • /WinPcapRemote - con la funzione di cattura a distanza (rpcapd) di WinPcap
  • RMON - utilizza l'utility RMON di SNMP per catturare - non è attualmente supportato ("Remote Packet Capture Con RMON" spiega il motivo per cui non funziona bene).

Naturalmente, è possibile utilizzare Wireshark installato su una macchina remota in combinazione con un software di controllo remoto (ad esempio VNC, Remote Desktop di Windows, ...).

XXX - spiega stringhe di filtro speciali rilevanti per l'acquisizione a distanza!

Vedere anche