진단을 위해 Wireshark로 네트워크 트래픽 캡처 및 분석

소개

이 문서에서는 Wireshark를 사용하여 진단용으로 네트워크 트래픽을 캡처하고 분석하는 방법을 설명합니다.

개요

Wireshark는 패킷 캡처("TCP 덤프"라고도 함)를 읽고 분석하는 데 사용할 수 있는 무료 애플리케이션입니다. 패킷 캡처는 패킷 레벨에서 네트워크 어댑터를 통한 모든 통신을 표시하므로 DNS, HTTP, ping 및 기타 트래픽 유형을 볼 수 있습니다. 패킷 캡처는 심층적인 문제 해결을 위한 진단 단계로서 특히 유용하며, 이제 SIG의 도입으로 진단 프로세스의 기본적인 부분이 되었습니다.

참고: Wireshark는 선택한 어댑터의 모든 트래픽을 캡처합니다. 패킷 캡처에는 PII(개인 식별 정보)가 포함되어 있는 경우가 많으므로, 항상 Box 링크와 같은 보안 방법을 사용하여 지원 기능과 캡처 파일을 공유합니다.

Wireshark 받기

Windows, macOS 또는 Linux용 Wireshark는 다음 사이트에서 다운로드할 수 있습니다. https://www.wireshark.org/

패킷 캡처 수집

1. 인터넷에 연결된 네트워크 어댑터를 선택하고 Wireshark에서 캡처를 시작합니다.
2. 캡처하는 동안 진단할 문제를 재현합니다.
3. 완료되면 캡처를 중지하고 파일을 a.pcap로 저장합니다.

기본 포트 및 프로토콜

• 대부분의 패킷은 전송 레이어 프로토콜 TCP 또는 UDP에서 통신합니다
  • 예를 들어 "DNS"는 기본적으로 "on top of" UDP를 실행합니다. TCP가 실패할 경우 UDP로 전환됩니다.
• HTTP 및 DNS는 전송 프로토콜 + 포트의 조합에서 실행되는 일반적인 프로토콜입니다.

프로토콜 이름, 포트 및 용도를 알면 Wireshark에서 관련 트래픽을 식별하고 분석하는 데 도움이 됩니다.

기본 연산자

Wireshark에서 필터 문자열을 작성할 때 다음 연산자를 사용합니다.

• ==: 같음(예:ip.dst==1.2.3.4)
• !=: 같지 않음(예:ip.dst!=1.2.3.4)
• &&: 및 (예:ip.dst==1.2.3.4 && ip.src==208.67.222.222)
• ||: 또는 (예:ip.dst==1.2.3.4) | ip.dst==1.2.3.5)

고급 필터 옵션은 Wireshark 설명서를 참조하십시오. 6.4. 표시 필터 표현식 작성

필터

패킷 캡처에는 수천 개의 패킷이 포함될 수 있습니다. 필터는 특정 트래픽 유형에 초점을 맞출 수 있도록 지원합니다.

• 프로토콜별:

  • dns - DNS 트래픽만 표시
  • http || dns - HTTP 또는 DNS 트래픽 표시

• IP 주소별:

  • ip.addr==<IP>—<IP>와(과) 주고받는 모든 트래픽
  • ip.src==<IP>—<IP>의 모든 트래픽
  • ip.dst==<IP>—<IP>에 대한 모든 트래픽

• 기타:

  • tcp.flags.reset==1 - TCP 재설정(시간 제한)을 확인합니다.
  • dns.qry.name contains "[domain]" — 도메인과 일치하는 DNS 쿼리
  • tcp.port==80 || udp.port==80— 포트 80의 TCP 또는 UDP 트래픽

패킷 보기 및 분석

패킷을 찾은 후 Wireshark 내의 세그먼트를 확장하여 세부 정보를 분석합니다. 프로토콜 구조에 익숙하면 이러한 세부 정보를 해석하고 필요한 경우 데이터를 재구성하는 데 도움이 됩니다.

데이터 스트림 팔로잉

패킷 목록을 사용하여 요청 및 응답 쌍을 찾을 수 있습니다. 패킷을 마우스 오른쪽 버튼으로 클릭하고 Follow > TCP Stream, UDP Stream, TLS Stream 또는 HTTP Stream을 선택하여 관련 요청 및 응답 시퀀스를 확인합니다.

• 이는 단일 요청 프로토콜(예: DNS)보다 여러 교환(예: HTTP)이 있는 프로토콜에서 더 유용합니다.