Jak číst pakety ve Wiresharku

Pro mnoho IT expertů je Wireshark oblíbeným nástrojem pro analýzu síťových paketů. Software s otevřeným zdrojovým kódem vám umožňuje podrobně prozkoumat shromážděná data a určit kořen problému se zvýšenou přesností. Kromě toho Wireshark pracuje v reálném čase a kromě jiných šikovných mechanismů používá k zobrazení zachycených paketů barevné kódování.

V tomto tutoriálu vysvětlíme, jak zachytit, číst a filtrovat pakety pomocí Wireshark. Níže naleznete podrobné pokyny a rozpisy základních funkcí analýzy sítě. Jakmile zvládnete tyto základní kroky, budete moci kontrolovat tok provozu vaší sítě a efektivněji odstraňovat problémy.

Analýza paketů

Jakmile jsou pakety zachyceny, Wireshark je uspořádá do podrobného panelu se seznamem paketů, který je neuvěřitelně snadno čitelný. Pokud chcete získat přístup k informacím týkajícím se jednoho paketu, vše, co musíte udělat, je najít jej v seznamu a kliknout. Strom můžete také dále rozšířit, abyste získali přístup k podrobnostem každého protokolu obsaženého v paketu.

Pro komplexnější přehled si můžete každý zachycený paket zobrazit v samostatném okně. Zde je postup:

Samsung Smart TV skryté titulky se nevypnou

1. Vyberte paket ze seznamu pomocí kurzoru a klikněte pravým tlačítkem.
   
2. Otevřete kartu Zobrazit z panelu nástrojů výše.
   
3. Z rozevírací nabídky vyberte možnost Zobrazit paket v novém okně.
   

Poznámka: Je mnohem snazší porovnat zachycené pakety, pokud je vyvoláte v samostatných oknech.

Jak již bylo zmíněno, Wireshark používá pro vizualizaci dat systém barevného kódování. Každý paket je označen jinou barvou, která představuje různé typy provozu. Například provoz TCP je obvykle zvýrazněn modře, zatímco černá barva se používá k označení paketů obsahujících chyby.

Samozřejmě si nemusíte pamatovat význam za každou barvou. Místo toho si můžete na místě ověřit:

1. Klepněte pravým tlačítkem myši na paket, který chcete prozkoumat.
   
2. Vyberte kartu Zobrazit z panelu nástrojů v horní části obrazovky.
   
3. Z rozevíracího panelu vyberte Pravidla barvení.
   

Uvidíte možnost upravit zbarvení podle vašich představ. Pokud však chcete pravidla barvení změnit pouze dočasně, postupujte takto:

1. Klepněte pravým tlačítkem myši na paket v podokně seznamu paketů.
2. Ze seznamu možností vyberte Colorize With Filter.
   
3. Vyberte si barvu, kterou jej chcete označit.
   

Číslo

V podokně seznamu paketů se zobrazí přesný počet zachycených datových bitů. Protože jsou pakety uspořádány do několika sloupců, je poměrně snadné je interpretovat. Výchozí kategorie jsou:

• Č. (Číslo): Jak již bylo zmíněno, v tomto sloupci naleznete přesný počet zachycených paketů. Číslice zůstanou stejné i po filtrování dat.
• Čas: Jak jste možná uhodli, zde je zobrazeno časové razítko paketu.
• Zdroj: Ukazuje, odkud paket pochází.
• Destination: Ukazuje místo, kde bude paket uložen.
• Protokol: Zobrazuje název protokolu, obvykle ve zkratce.
• Délka: Ukazuje počet bajtů obsažených v zachyceném paketu.
• Info: Sloupec obsahuje jakékoli další informace o konkrétním paketu.

Čas

Jak Wireshark analyzuje síťový provoz, každý zachycený balíček je označen časovým razítkem. Časová razítka jsou pak zahrnuta v podokně seznamu paketů a jsou k dispozici pro pozdější kontrolu.

Wireshark sama časová razítka nevytváří. Místo toho je nástroj analyzátor získá z knihovny Npcap. Zdrojem časového razítka je však ve skutečnosti jádro. To je důvod, proč se přesnost časového razítka může lišit soubor od souboru.

Můžete si vybrat formát, ve kterém se budou časová razítka zobrazovat v seznamu paketů. Kromě toho můžete nastavit preferovanou přesnost nebo počet zobrazených desetinných míst. Kromě výchozího nastavení přesnosti jsou zde také:

• Sekundy
• Desetiny sekundy
• Setiny sekundy
• milisekundy
• mikrosekundy
• Nanosekundy

Zdroj

Jak název napovídá, zdrojem paketu je místo původu. Pokud chcete získat zdrojový kód úložiště Wireshark, můžete si jej stáhnout pomocí klienta Git. Tato metoda však vyžaduje, abyste měli účet GitLab. Dá se to udělat i bez něj, ale pro každý případ je lepší se přihlásit.

Jakmile si zaregistrujete účet, postupujte takto:

1. Ujistěte se, že Git je funkční pomocí tohoto příkazu: |_+_|
   
2. Znovu zkontrolujte, zda jsou nakonfigurovány vaše e-mailová adresa a uživatelské jméno.
3. Dále vytvořte klon zdroje Workshark. Použijte |_+_| SSH URL pro vytvoření kopie.
4. Pokud nemáte účet GitLab, zkuste HTTPS URL: |_+_|
   

Všechny zdroje budou následně zkopírovány do vašeho zařízení. Mějte na paměti, že klonování může chvíli trvat, zvláště pokud máte pomalé připojení k síti.

Destinace

Pokud chcete znát IP adresu cíle konkrétního paketu, můžete jej vyhledat pomocí filtru zobrazení. Zde je postup:

1. Zadejte |_+_| do filtračního boxu Wireshark. Poté klikněte na Enter.
   
2. Panel se seznamem paketů bude překonfigurován pouze tak, aby zobrazoval cíl paketu. Najděte IP adresu, která vás zajímá, procházením seznamu.
   
3. Až budete hotovi, vyberte na panelu nástrojů možnost Vymazat a znovu nakonfigurujte podokno seznamu paketů.

Protokol

Protokol je vodítko, které určuje přenos dat mezi různými zařízeními, která jsou připojena ke stejné síti. Každý paket Wireshark obsahuje protokol a můžete jej vyvolat pomocí filtru zobrazení. Zde je postup:

1. V horní části okna Wireshark klikněte na dialogové okno Filtr.
2. Zadejte název protokolu, který chcete prozkoumat. Typicky jsou názvy protokolů psány malými písmeny.
3. Kliknutím na Enter nebo Apply aktivujete filtr zobrazení.

Délka

Délka paketu Wireshark je určena počtem bajtů zachycených v tomto konkrétním síťovém fragmentu. Toto číslo obvykle odpovídá počtu bajtů nezpracovaných dat uvedených ve spodní části okna Wireshark.

Pokud chcete prozkoumat distribuci délek, otevřete okno Packet Lengths. Všechny informace jsou rozděleny do následujících sloupců:

• Délky paketů
• Počet
• Průměrný
• Min Val / Max Val
• Hodnotit
• Procento
• Burst rate
• Nárazový start

Info

Pokud jsou v konkrétním zachyceném paketu nějaké anomálie nebo podobné položky, Wireshark to zaznamená. Informace se poté zobrazí v podokně seznamu paketů pro další zkoumání. Tímto způsobem budete mít jasnou představu o atypickém chování sítě, což povede k rychlejším reakcím.

Další často kladené dotazy

Jak mohu filtrovat data paketů?

Filtrování je účinná funkce, která vám umožňuje nahlédnout do specifik konkrétní datové sekvence. Existují dva typy filtrů Wireshark: zachycení a zobrazení. Zachycovací filtry slouží k omezení zachycování paketů tak, aby vyhovovaly konkrétním požadavkům. Jinými slovy, pomocí filtru zachycení můžete prosít různé typy provozu. Jak již název napovídá, zobrazovací filtry vám umožňují zaměřit se na konkrétní prvek paketu, od délky paketu po protokol.

Použití filtru je docela jednoduchý proces. Název filtru můžete zadat v dialogovém okně v horní části okna Wireshark. Kromě toho software obvykle automaticky doplní název filtru.

Případně, pokud chcete procházet výchozí filtry Wireshark, proveďte následující:

1. Otevřete záložku Analyze na panelu nástrojů v horní části okna Wireshark.

jak přijímat bity na škubnutí

2. Z rozevíracího seznamu vyberte Zobrazit filtr.

3. Procházejte seznam a klikněte na ten, který chcete použít.

Nakonec zde jsou některé běžné filtry Wireshark, které se mohou hodit:

• Chcete-li zobrazit pouze zdrojovou a cílovou IP adresu, použijte: |_+_|

• Chcete-li pouze zobrazit provoz SMTP, zadejte: |_+_|

• Chcete-li zachytit veškerý provoz podsítě, použijte: |_+_|

• Chcete-li zachytit vše kromě provozu ARP a DNS, použijte: |_+_|

Jak zachytím paketová data ve Wiresharku?

Jakmile si stáhnete Wireshark do svého zařízení, můžete začít sledovat připojení k síti. Chcete-li zachytit datové pakety pro komplexní analýzu, musíte udělat toto:

1. Spusťte Wireshark. Zobrazí se seznam dostupných sítí, takže klikněte na tu, kterou chcete prozkoumat. Pokud chcete přesně určit typ provozu, můžete také použít filtr pro zachycení.

2. Chcete-li zkontrolovat více sítí, použijte ovládací prvek Shift + levé tlačítko myši.

3. Dále klikněte na ikonu žraločí ploutve zcela vlevo na panelu nástrojů výše.

4. Snímání můžete také spustit kliknutím na kartu Zachycení a výběrem možnosti Spustit z rozevíracího seznamu.

5. Dalším způsobem, jak to udělat, je použít klávesu Control – E.

Jakmile software získá data, uvidíte je v podokně seznamu paketů v reálném čase.

Shark Byte

I když je Wireshark vysoce pokročilý síťový analyzátor, jeho interpretace je překvapivě snadná. Panel se seznamem paketů je mimořádně obsáhlý a dobře organizovaný. Všechny informace jsou rozděleny do sedmi různých barev a označeny jasnými barevnými kódy.

Kromě toho je software s otevřeným zdrojovým kódem dodáván s řadou snadno použitelných filtrů, které usnadňují monitorování. Povolením filtru zachycení můžete přesně určit, jaký druh provozu má Wireshark analyzovat. A jakmile jsou data zachycena, můžete použít několik filtrů zobrazení pro konkrétní vyhledávání. Celkově vzato je to vysoce účinný mechanismus, jehož zvládnutí není příliš obtížné.

Používáte Wireshark pro analýzu sítě? Co si myslíte o funkci filtrace? Dejte nám vědět v komentářích níže, zda existuje užitečná funkce analýzy paketů, kterou jsme přeskočili.