Capturar e analisar o tráfego de rede com o Wireshark para diagnóstico

Introdução

Este documento descreve como usar o Wireshark para capturar e analisar o tráfego de rede para fins de diagnóstico.

Overview

O Wireshark é um aplicativo gratuito que você pode usar para ler e analisar capturas de pacotes (também chamado de "dumps TCP"). As capturas de pacotes revelam todas as comunicações através de um adaptador de rede no nível do pacote, tornando possível ver DNS, HTTP, ping e outros tipos de tráfego. As capturas de pacotes são especialmente valiosas como uma etapa de diagnóstico para identificação e solução de problemas profunda e, com a introdução do SIG, são agora uma parte fundamental do processo de diagnóstico.

Note: O Wireshark captura todo o tráfego no adaptador selecionado. Como as capturas de pacotes geralmente contêm informações de identificação pessoal (PII), sempre use um método seguro, como um link de caixa, para compartilhar arquivos de captura com o suporte.

Obtenha o Wireshark

Você pode baixar o Wireshark para Windows, macOS ou Linux em: https://www.wireshark.org/

Coletar uma Captura de Pacotes

1. Escolha o adaptador de rede conectado à Internet e inicie a captura no Wireshark.
2. Durante a captura, reproduza o problema que você deseja diagnosticar.
3. Pare a captura quando terminar e salve o arquivo como a.pcap.

Portas e protocolos básicos

• A maioria dos pacotes se comunica nos protocolos TCP ou UDP da camada de transporte
  • Por exemplo, "DNS" executa "sobre" o UDP por padrão. Ele alterna para UDP se o TCP falhar.
• HTTP e DNS são protocolos comuns executados em uma combinação de protocolo de transporte + portas.

Conhecer nomes de protocolo, portas e seus usos ajuda a identificar e analisar o tráfego relevante no Wireshark.

Operadores básicos

Ao criar strings de filtro no Wireshark, use estes operadores:

• ==: Igual a (Exemplo:ip.dst==1.2.3.4)
• !=: Diferente de (Exemplo:ip.dst!=1.2.3.4)
• &&: E (Exemplo:ip.dst==1.2.3.4 && ip.src==208.67.222.222)
• ||: Ou (Exemplo:ip.dst==1.2.3.4 || ip.dst==1.2.3.5)

Para opções de filtro avançadas, consulte a documentação do Wireshark: 6.4. Criação de Expressões de Filtro de Exibição

Filtros

Capturas de pacotes podem conter milhares de pacotes. Os filtros ajudam você a se concentrar em tipos de tráfego específicos:

• Por protocolo:

  • dns — Mostrar apenas o tráfego DNS
  • http || dns— Mostrar tráfego HTTP ou DNS

• Por endereço IP:

  • ip.addr==<IP>— Todo o tráfego de/para<IP>
  • ip.src==<IP>— Todo o tráfego de<IP>
  • ip.dst==<IP>— Todo o tráfego para<IP>

• Diversos:

  • tcp.flags.reset==1— Verificar redefinições TCP (timeouts)
  • dns.qry.name contém "[domain]"— Consultas DNS que correspondem a um domínio
  • tcp.port==80 || udp.port==80— Tráfego TCP ou UDP na porta 80

Exibindo e analisando pacotes

Depois de localizar um pacote, expanda os segmentos dentro do Wireshark para analisar os detalhes. A familiaridade com a estrutura do protocolo ajuda a interpretar esses detalhes e até mesmo reconstruir dados, se necessário.

Seguindo um fluxo de dados

Use a lista de pacotes para localizar pares de solicitação e resposta. Clique com o botão direito do mouse em um pacote e selecione Follow > TCP Stream, UDP Stream, TLS Stream ou HTTP Stream para exibir a sequência de solicitação e resposta relacionada.

• Isso é mais útil com protocolos que têm várias trocas (por exemplo, HTTP) do que com protocolos de solicitação única (por exemplo, DNS).