Informe1Wireshark

LABORATORIO DE SISTEMAS DE TELECOMUNICACIONES I

2013

USO DEL ANALIZADOR DE TRAFICO WIRESHARK I.

OBJETIVOS:  

II.

Conocer el funcionamiento y la aplicación básica de monitoreo a nivel de paquetes Distinguir las diferentes partes que componen a un p aquete de datos.

HERRAMIENTAS: 

III.

Software wireshark v.1.10.2

WIRESHARK El analizador Wireshark, es uno de los más populares analizadores que existen. Se trata de una herramienta gráfica utilizada por los administradores de la red para identificar y analizar el tipo tráfico en un momento momento determinado. Se trata de un producto gratuito cuyas características características más relevantes son: • Disponible para UNIX, LINUX, Windows y Mac OS. • Captura los paquetes directamente desde una interfaz de red. • Permite o btener detalladamente la información información del protocolo utilizado en el paquete capturado. • Cuenta con la capacidad de importar/exportar los p aquetes capturados desde/hacia otros programas. programas. • Filtra los paquetes que cumplan con un criterio definido previam ente. • Realiza la búsqueda de los p aquetes que cu mplan con un criterio definido previamente. • Permite obtener estadísticas. • Sus funciones gráficas son muy poderosas ya que identifica mediante el el uso de colores los paquetes paquetes que

cumplen con los filtros establecidos. Hasta el año 2006 el programa se distribuía bajo la denominación de Ethereal. IV.

PROCEDIMIENTO 1.

Ejecutar los archivos de instalación del software wireshark 10.1.2

OBTENCIÓN DE LA INFORMACIÓN PROPIA 2. Averiguar la configuración de la maquina en la que nos encontramos para ello lanzaremos la aplicación de Windows winipcfg que puede ser lanzada desde la opción de menú de Windows Inicio_ejecutar. La información que obtendremos es la siguiente:

La información que podamos precisar para usarla posteriormente la anotamos      

Nombre de host Dirección MAC Direccion IP Mascara de subred Gatewa o puerta de enlace Servidor de DNS

1

:fiee-b58138e64d :00-1C-C0-E8-37-AF :172.16.86.110 :255.255.252.0 :172.16.84.1 :172.16.156.4

Rojas Yauri Henry 10190201


2013

CAPTURA SIMPLE DE PAQUETES 3. A continuación monitorizar varias de los comandos básicos de administración de redes y otras aplicaciones de red Abrir una ventana de comandos de MS-DOS 4.

Comprobar que direcciones tiene la cacha almacenada C://WINDOWS>arp – a

5.

Borrar cada una de las entradas que existan tecleando C://WINDOWS>arp – d

CONFIGURACION DE WIRESHARK 6. Abra el programa wireshark. Escoja la opción de menú “capture” -“options” 7. 8.

En la entrada etiquetada con el nombre “interface” escoja la que haga referencia la tarjeta de red

9.

Deshabilite las opciones

  

En la entrada etiquetada con el nombre de “filter” escriba: host

Enable MAC name resolution Enable network name resolution Enable transport name resolution

10. Iniciar el monitoreo con el wireshark pulsando el botón “Start”

PROPÓSITO DEL PROTOCOLO ARP 11. Ejecutar en la ventana del comando el ping : C:\WINSOWS>ping – n 1 172.16.84.206. Se enviara solo 1 paquete ICMP echo request.

2



2013

12. Detenga la captura de tramas pulsando el botón “STOP”

13. Escribir la información de la captura (ping con la tabla ARP vacía): Fuente, Destino P rotocolo, Función.

PROTOCOLO ARP (tipo 0806) OPERATION: MODO 1, Solicitud ARP FUENTE: EL HOST DE EMISION mi pc CON LA MAC 00:19:d1:ff:f0:a1 Destino: la Mac: ff:ff:ff:ff:ff:ff , el hecho de que la MAC de destino sea la mostrada en el Wireshark se debe a que el Protocolo ARP , es un protocolo de resolución de direcciones , y él está buscando dentro de mi red cual es la dirección física con la ip 172.16.84.206 para establecer la sesión. PROTOCOLO ARP (tipo 0806) OPERATION: MODO 2, RESPUESTA ARP FUENTE: LA MAC 00:19:d1:ff:f0:af DESTINO: mi pc CON LA MAC 00:19:d1:ff:f0:a1

3



2013

14. A continuación observe de nuevo la cache ARP y realice un ping a la misma máquina, Repitiendo los pasos del 06 al 12. Analizando los paquetes capturados, responda a las siguientes preguntas:

4



2013

¿Se identifican las tramas ARP en la captura? No se identifican las tramas ARP En caso de que no hubiese tramas ARP ¿por qué no hacía falta enviarlas? Explique a que se debe las diferencias de esta captura con lo anterior. Porque el host de origen ya tiene almacenado la dirección MAC de Destino debido a que ya se realizó previamente la resolución de dirección.

ARPA PROXI 15. una vez preparado el programa de captura de tráfico, genere paquetes ICMP de echo con el programa ping. Para ello ejecute desde una consola el siguiente comando. C:\WINDOWS> ping www.google.com Con este comando se enviran 4 paquetes ICMP echo resquest.

16. una vez ha acabado el programa ping, pulso el botón de stop de wireshark, para detener la captura de tráfico.

5



2013

17. Analice la dirección hardware destino de unos de los mensajes ICMP resquest. ¿A qué maquina corresponde?

La dirección hardware de destino es: 00:00:0c:ac:54 esta dirección corresponde al Gateway que está conectada a la consola que se está mandando el ping.

18. Analice, ahora, la dirección hardware fuente de uno de los mensajes ICMP reply. ¿A qué maquina corresponde? Explique.

La dirección física del hardware fuente es: 58:bf:ea:bf:c0:80.

COMANDO TRACERT 19. Comprobar que tipo de paquetes viajan cuando se realiza la traza de la ruta de los paquetes por la red. Para ello escribir en la ventana de comandos la siguiente orden: C: \WINDOWS>tracert www.cisco.com

6



7


2013


2013

20. Por lo apreciado en el tipo de paquetes capturados ¿en qué consiste el tracert? ¿Qué consecuencias de protocolos emplea el comando?

Los paquetes capturados son todos los que e stán cursando por la red, tracert consiste en la captura de todos los paquetes, es una utilidad de seguimiento de ruta empleada para averiguar la ruta de acceso que un paquete IP ha seguido para llegar a un destino.

FRAGMENTACION DE DATAGRAMAS IP El objetivo de este ejercicio es observar la fragmentación de los datagramas IP. Para ello se utilizara el programa ping para generar mensajes ICMP echo de petición (request), con un tamaño suficientemente grande y el programa wireshark para capturar el trafico generado y poder analizarlo. 21. Averigüe la opción que permite establecer el tamaño del mensaje ICMP usando el manual del comando ping. C: \ WINDOWS> ping – l 1000 – n 1

22. envié un solo mensaje ICMP de tamaño 1000 bytes a la dirección de un host de la red. C: \ WINDOWS> ping – l 1000 – n 1

a) Analizando el tráfico capturado determine el tamaño total de la trama enviada, la longitud de la cabecera Ethernet, longitud de la cabecera IP, longitud de la cabecera ICMP y la longitud de los datos enviados.

El tamaño total de la trama es de: 1000 bytes La longitud de la cabecera es de: 20 bytes La longitud de la cabecera IP es: 20 bytes La cabecera ICMP es: 8 bytes La longitud de los datos enviados es: 1028 bytes

8



b)

2013

Verifique el estado de los flags del datagrama IP: don’ t fragment y more fragments.

El UMT de internet es 1500 bytes y el paquete enviado de 1000 by tes. No se fragmenta. El don’t fragment está en: no set

El more fragment esta en: no set

23. Envié un solo mensaje ICMP de tamaño 8000 bytes a la dirección de un host de la red realizando la captura de tráfico correspondiente. Ejm:

C: \WINDOWS > ping –l 8000 –n 1 < Dirección IP Remota>

9



2013

c) ¿Cuántas tramas Ethernet han sido enviadas a la dirección del host destino para completar la transmisión de un mensaje ICMP?

Se envían 6 tramas para este mensaje ICMP.

d) Analice que cabeceras de protocolos existen en cada uno de las tramas Ethernet del mensaje ICMP.

Protocolo ip: version4 Protocolo ICMP: tipo 8, Echo request

e) En cada una de las tramas verifique los campos del datagrama IP; identificación; Flags (Don't Fragment y More Fragmentes) Y Fragment Offset.

10



2013

La identificación es la misma para todos los fragmentos pues corresponden a un mismo dato, la identificación es 2531 Fragmento 1: Don't Fragment está en 00 More Fragmentes) está en 01 Fragment Offset = 0 en hexadecimal 000 Fragmento 2: Don't Fragment está en 00 More Fragmentes) está en 01 Fragment Offset = 185 en hexadecimal 0B9 Fragmento 3: Don't Fragment está en 00 More Fragmentes) está en 01 Fragment Offset = 370 en hexadecimal 370 Fragmento 4: Don't Fragment está en 00 More Fragmentes) está en 01 Fragment Offset = 555 en hexadecimal 22B Fragmento 5: Don't Fragment está en 00 More Fragmentes) está en 01 Fragment Offset = 185 en hexadecimal 2E4 Fragmento 6: Don't Fragment está en 00 More Fragmentes) está en 00 Fragment Offset =925 en hexadecimal 49D

11



2013

f) Determine cuantos bytes de información viajan en cada una de las tramas (los datos enviados deben sumar 8000) bytes

TRAMA1: 0-1479 (1480 bytes) TRAMA2: 1480-2959 (1480 bytes) TRAMA3: 2960-4439 (1480 bytes) TRAMA4: 4440-5919 (1480 bytes) TRAMA5: 5920-7399 (1480 bytes) TRAMA6: 7400-8007(608bytes) Total 8008 bytes

g) Obtenga una fórmula matemática que permita determinar el número de tramas enviadas para completar la transmisión de un mensaje ICMP de una longitud de L bytes .

    

     

SI n es un número entero, el nuero de tramas es n. Si n NO es un número entero, el número de tramas es el inmediato entero superior.

24. Obtenga el MTU (MAXIMA TRANSFER UNIT) de LA INTERFAZ DE RED POR LO QUE SE HAN ENVIADOS LOS MENSAJES ICMP ¿tiene alguna relación el MTU con la fragmentación observada en el punto anterior?

El MTU es 1500 bytes, la máxima longitud de los paquetes capturados en el wireshark es 1480bytes.

25. Verifique el campo de suma de chequeo del Datagrama ip.

12



2013

La suma de chequeo es 0c96 para el paquete ipv4, pero en cada paquete ip que se fragmenta la suma de chequeo va ser distinto pues no todos tienen el mismo valor en el campo de desplazamiento, el more fragments y en el campo de longitud total.

GATEWAY 26. Realice una captura de tráfico filtrando aquellos paquetes cuya dirección de origen sea su máquina y la dirección de destino sea la puerta de enlace predeterminada (Gateway) de su subred. Para ello, navegue por internet ¿captura algún paquete?

(Src host) and (dst host) Al abrir páginas webs se captura paquetes, entre el tráfico de la direccion ip host (nuestra IP) y la dirección ip del Gateway el tipo de protocolo es el ARP que permite que se conozca la dirección física de una tarjeta de interfaz de red correspondiente a una dirección IP. 27. Compartelo con el tráfico capturado si modifica el filtro de modo que capture todos los paquetes con destino al gateway independientemente del origen ¿captura algún paquete de los ordenadores?

Dst host

Existe tráfico entre los otros ordenadores de la red hacia el Gateway con las siguientes direcciones 172.16.84.11 y 172.16.84.5 y son del protocolo tipo ARP que permite que se conozca la dirección física de una tarjeta de interfaz de red correspondiente a una direcc ión IP. 28. Modifique los filtros anteriores para capturar todos los paquetes que salen y entran de la subred a través de la pasarela indicada. Es decir, paquetes cuya dirección física(origen o destino) es la del host, pero las direcciones IP (origen o destino) no corresponden al host. Ether host

13



V.

2013

INFORME FINAL 1.

¿Qué es un monitor de red?

Un monitor de red nos ayuda a enterarnos de todo lo que pasa en la. El monitoreo incluye no solo verificaciones de fallas en los equipos de red sino tambien el monitoreo del rendimiento de red y el uso de recursos de red. Un monitor de red es esencial para el monitoreo de la actividad de red y asegurar la información de una organización. Un monitor de red y de servidores puede detectar automaticamente y responder a amenazas y problemas de rendimiento en tiempo real, así como ayudar a prevenir posibles problemas en el futuro. Ejemplos del uso del monitor de red 



 

Monitor de ancho de banda: puede ver en tiempo real cuanta banda ancha es utilizada e identificar los cuellos de botella. Monitor de servidores en red: el monitor LAN controla si el servidor está o no funcionando, la carga del CPU, la temperatura, etc. Monitor VoIP: mide pérdida de paquetes, ruido jitter noise, etc. Monitoreo Web: verificar si su sitio web está disponible Como trabaja en monitor LAN? Emplean SNMP, sniffing de paquetes y monitoreo NetFlow.







Monitor SNMP: monitoreo de red SNMP es una de las tecnologías más usadas cuando se trata de monitorizar la red. Es fácil de configurar y requiere sólo pocos cilos de CPU y e ancho de banda. Packet Sniffing: Packet sniffing es otro método empleado por el monitor LAN: con el sniffer de paquetes IP integrado en PRTG puede inspeccionar todos las paquetes de datos viajando en la red para calvular el tráfico de ancho de banda. Monitoreo NetFlow Monitoring: para monitorizar equipos Cisco, PRTG es compatible con el protocolo NetFlow.

14



2. 3. 4.

2013

Estudie el manual del uso de ethereal. Desarrolle los resultados de cada punto de la experiencia. Investigue sobre los comandos arp, ping, tracert.

Arp Muestra y modifica datos de la tabla de traduccion de direcciones IP a direcciones MAC ( ARP) Arp -a (también -g): muestra la tabla ARP para cada uno de los interfaces Arp -s (dir_ip) (dir_MAC) [dir_interfaz]: añade una entrada especifica a la tabla ARP. Si hay varios interfaces de red, añ adiendo al final la direccion IP del interfaz, lo añade en la tabla correspondiente a ese interfaz Arp -d (dir_ip) [dir_interfaz]: elimina una entrada especifica de la tabla ARP. Se pueden usar comodines en la direccion IP. Si hay varios interfaces de red, añadiendo al final la direccion IP del interfaz, lo elimina de la tabla correspondiente a ese interfaz.

Tracert Indica la ruta por la que pasa nuestra peticion hasta llegar al host destino. Tracert -d: no resuelve los nombres del dominio. Tracert -h (valor): establece un nº máximo de saltos

.

Ping: Nos informa del estado de un host. Es necesario permitir paquetes ICMP para su funcionamiento. Comprueba la conectividad de nivel IP en otro equipo TCP/IP al enviar mensajes de solicitud de eco de ICMP (Protocolo de mensajes de control Internet). Se muestra la recepción de lo s mensajes de solicitud de eco correspondiente, junto con sus tiempos de ida y vuelta. Ping es el principal comando de TC P/IP que se utiliza para solucionar problemas de conectividad, accesibilidad y resolución de nombres. Cuando se usa sin parámetros, ping muestra ayuda.

También se utiliza ping para comprobar el nombre y la dirección IP del equipo. Si sólo se confirma la dirección de IP pero no el nombre del equipo, puede tener un problema de resolución de nombres. En este caso, compruebe que el nombre del equipo especificado se puede resolver a través del archivo Hosts local, usando consultas DNS (Sistema de nombres de dominio) o mediante técnicas de resolución de nombres NetBIOS.

Ping -a: devuelve el nombre del host. Ping -l: establece el tamaño del buffer. Por defecto el valor es 32.

15



2013

Ping -f: impide que se fragmenten los paquetes. Ping -n (valor): realiza la prueba de ping durante un determinado número de ocasiones. Ping -i TTL: permite cambiar el valor del TTL. TTL sería sustituido por el nuevo valor. Ping -r (nº de saltos): indica los host por los que pasa nuestro ping. (máximo 9) Ping -v TOS: se utiliza en redes avanzadas para conocer la calidad del servicio

5.

.

Investigue sobre los protocolos ARP, IP, ICMP.

Protocolo ARP (Address Resolution Protocol) Modelo TCP/IP , sabemos que la capa de aplicación transfiere sus datos a la capa de transporte la cual genera Segmentos que son encapsulados en paquetes en la capa Internet , estos paquetes contienen en su encabezado la dirección IP origen y dirección IP destino de la información . Una vez que tenemos los paquetes estos son encapsulados en tramas en la capa de red , estas tramas tiene un encabezado en el que se detalla dirección MAC(Dirección física de la NIC) origen y Dirección MAC destino. La dirección MAC esta compuesta en el caso de las redes Ethernet y Token Ring por 6 números hexadecimales un ejemplo de esta puede se 01:A2:B5:F1:00:1D esto hace un total de 48 BITs. Para poder enviar un paquete y que este llegue a los protocolos de nivel superior Transporte y Aplicación de la computadora destino , primero debe pasar por la capa de Red y luego por la capa Internet. Para que esto suceda se necesita básicamente dos cosas A) Dirección MAC origen y destino (Encabezado de trama) y dirección IP origen y destino (encabezado del paquete). El protocolo ARP fue creado para obtener la dirección MAC destino , sabiendo la dirección IP que tiene asignada dicha maquina. ARP costa de dos tipos de ARP request (Interrogación) y ARP reply (respuesta). Otra parte importante de este protocolo es lo que se denomina tabla ARP , esta tabla es un caché en el cual se guardan por un tiempo limitado el numero IP de una maquina enlazado con su dirección MAC. Esta tabla nos ayuda a resolver direcciones que ya fueron obtenidas mediante el protocolo ARP , sin necesidad de volver a interrogar al destino. Por ejemplo, los ordenadores A y B están en una oficina, conectados entre sí en una red de área local de la oficina mediante cables Ethernet y conmutadores de red, sin gateways o routers intermedios. A quiere enviar un paquete a B. A través de otros medios, se determina que la dirección IP de B es 192.168.0.55 , pero para enviar el mensaje también tiene que saber la dirección MAC de B. En primer lugar, A utiliza una tabla caché ARP para buscar 192.168.0.55 en todos los registros existentes la dirección MAC de B (00: eb: 24: B2: 05: ac). Si el caché no ha dado ningún resultado para 192.168.0.55, A envía un mensaje ARP broadcast (destino FF: FF: FF: FF: FF: FF de dirección MAC, que es aceptada por todos los equipos), solicitando una respuesta para 192.168.0.55 . B responde con su dirección MAC (y su IP). B puede insertar una entrada para A en su propia tabla ARP para su uso futuro. La información de la respuesta se almacena en caché en la tabla ARP del A y el mensaje que se puede enviar.

16



2013

Protocolo IP El protocolo de IP (Internet Protocol) es la base fundamental de la Internet. Porta datagramas de la fuente al destino. El nivel de transporte parte el flujo de datos en datagramas. Durante su transmisión se puede partir un datagrama en fragmentos que se montan de nuevo en el destino. Las principales características de este protocolo son:       

Protocolo orientado a no conexión. Fragmenta paquetes si es necesario. Direccionamiento mediante direcciones lógicas IP de 32 bits. Si un paquete no es recibido, este permanecerá en la red durante un tiempo finito. Realiza el "mejor esfuerzo" para la distribución de paquetes. Tamaño máximo del paquete de 65635 bytes. Sólo ser realiza verificación por suma al encabezado del paquete, no a los datos éste que contiene.

El Protocolo Internet proporciona un servicio de distribución de paquetes de información orientado a no conexión de manera no fiable. La orientación a no conexión significa que los paquetes de información, que será emitido a la red, son tratados independientemente, pudiendo viajar por diferentes trayectorias para llegar a su destino. El término no fiable significa más que nada que no se garantiza la recepción del paquete. La unidad de información intercambiada por IP es denominada datagrama. Tomando como analogía los marcos intercambiados por una red física los datagramas contienen un encabezado y una área de datos. IP

17



2013

no especifica el contenido del área de datos, ésta será utilizada arbitrariamente por el protocolo de transporte. Direcciones IP Para que en una red dos computadoras puedan comunicarse entre sí ellas deben estar identificadas con precisión Este identificador puede estar definido en niveles bajos (identificador físico) o en niveles altos (identificador lógico) de pendiendo del protocolo utilizado. TCP/IP utiliza un identificador denominado dirección internet o dirección IP, cuya longitud es de 32 bites. La dirección IP identifica tanto a la red a la que pertenece una computadora como a ella misma dentro de dicha red.

Tomando tal cual está definida una dirección IP podría surgir la duda de cómo identificar qué parte de la dirección identifica a la red y qué parte al nodo en dicha red. Lo anterior se resuelve mediante la definición de las "Clases de Direcciones IP". Para clarificar lo anterior veamos que una red con dirección clase A queda precisamente definida con el primer octeto de la dirección, la clase B con los dos primeros y la C con los tres primeros octetos. Los octetos restantes definen los nodos en la red específica.

El protocolo ICMP El Protocolo de Mensajes de Control y Error de Internet, ICMP, es de características similares a UDP, pero con un formato mucho más simple, y su utilidad no está en el transporte de datos de usuario, sino en controlar si un paquete no puede alcanzar su destino, si su vida ha expirado, si el encabezamiento lleva un valor no permitido, si es un paquete de eco o respuesta, etc. Es decir, se usa para manejar mensajes de error y de control necesarios para los sistemas de la red, informando con ellos a la fuente original para que evite o corrija el problema detectado. ICMP proporciona así una comunicación entre el software IP de una máquina y el mismo software en otra. El protocolo ICMP solamente informa de incidencias en la entrega de paquetes o de errores en la red en general, pero no toma decisión alguna al respecto. Esto es tarea de las capas superiores.

18



2013

Los mensajes ICMP se transmiten como datagramas IP normales, con el campo de cabecera "protocolo" con un valor 1, y comienzan con un campo de 8 bits que define el tipo de mensaje de que se trata. A continuación viene un campo código, de o bits, que a veces ofrece una descripción del error concreto que se ha producido y después un campo suma de control, de 16 bits, que incluye una suma de verificación de errores de transmisión. Tras estos campos viene el cuerpo del mensaje, determinado por el contenido del campo "tipo". Contienen además los 8 primeros bytes del datagrama que ocasionó el error.

6.









Conclusiones

Wireshark no es útil para realizar análisis y solucionar problemas en redes de comunicaciones, para desarrollo de software y protocolos, y como una herramienta didáctica para educación. Las distintas opciones de configuración de Wireshark, las cuales permiten capturar los paquetes que se necesitan para analizar los resultados de laboratorio. El protocolo ARP permite que se conozca la dirección física de una tarjeta de interfaz de red correspondiente a una dirección IP. Si A quiere enviar una trama a la dirección IP de B (misma red), mirará su tabla ARP para poner en la trama la dirección destino física correspondiente a la IP de B. De esta forma, cuando les llegue a todos la trama, no tendrán que deshacerla para comprobar si el mensaje es para ellos, sino que se hace con la dirección física.

Ping trabaja en la capa de red del Internet Protocol TCP/IP y es un tipo de mensaje de control del protocolo ICMP . Se puede probar la velocidad de su conexión, la "distancia" al objetivo, y si su conexión es aún en funcionamiento. El comando TRACERT es una utilidad de seguimiento de ruta, empleada para determinar la ruta que recorre un paquete IP para llegar a un destino.

19


Informe1Wireshark

Recommend Documents