6.1 Captura de trazas Ethernet.

Transcripción

1 6. Ethernet. En esta sesión, investigaremos el protocolo Ethernet y ARP. 6.1 Captura de trazas Ethernet. El formato de una traza Ethernet es el siguiente: Dest. MAC Source MAC Type/length Payload CRC(4bytes) Para verlo de forma práctica con Wireshark, hagamos lo siguiente: 1. Abrir un navegador web y limpiar los archivos de caché. 2. Abrir Wireshark y comenzar a capturar filtrando por http. 3. Acceder a la dirección : Parar la captura de Wireshark. 5. Limpiar el criterio de filtrado de Wireshark pero manteniendo seleccionado el mensaje http correspondiente a la consulta del sitio web accedido anteriormente. Ya que en esta práctica trata sobre Ethernet y ARP, no estamos interesados en IP o en capas de protocolos de mas alto nivel. Lo que haremos a continuación es indicar a Wireshark que no muestre los campos correspondientes al protocolo IP o superiores. Deseleccionemos IP como protocolo en Analyze->Enabled Protocols en el menú de Wireshark. La pantalla mostrará algo parecido a la Imagen 1. Para contestar a las siguientes cuestiones, fijaos en la traza Ethernet que encapsula el mensaje GET HTTP. 1. Cuál es la dirección Ethernet de vuestro equipo? 2. Cuál es la dirección Ethernet destino de la trama? Es la misma que la dirección Ethernet de ? (Pista: la respuesta es no) Quién tiene esa dirección? 3. Qué indican los bytes correspondientes al campo Type? Qué valor tienen? Javier Matanza 1 de 5

2 Imagen 1 - Captura Wireshark con IP inhabilitado. Javier Matanza 2 de 5

3 6.2 ARP INTRANET Veamos ahora como actúa el protocolo ARP (Arddress Resolution Protocol) sobre Ethernet. Es un protocolo de nivel de red responsable de encontrar la dirección hardware (Ethernet MAC) que corresponde a una determinada dirección IP. Para ello se envía un paquete (ARP request) a la dirección de difusión de la red (broadcast (MAC = xx xx xx xx xx xx)) que contiene la dirección IP por la que se pregunta, y se espera a que esa máquina (u otra) responda (ARP reply) con la dirección Ethernet que le corresponde. Cada máquina mantiene una caché con las direcciones traducidas para reducir el retardo y la carga. Hagamos lo siguiente: 1. Limpiad la caché ARP del equipo (consultad la ayuda tecleando el comando arp en una consola de MS-DOS). 2. Limpiad la caché del navegador web que vayáis a utilizar. 3. Abrid Wireshark y comenzar a capturar filtrando por HTTP. 4. Acceded a la página web del servidor web que se encuentre en vuestra subred. 5. Parad la captura de Wireshark, limpiar el campo de filtrado e inhabilitar el protocolo IP de la manera descrita anteriormente. La captura mostrará algo como la Imagen 2. Observamos como, antes de lanzar la traza Ethernet encapsulando el mensaje HTTP (sobre TCP/IP), existen dos mensajes ARP. Analicémoslos con las siguientes cuestiones: 4. Cuáles son los valores hexadecimales de las direcciones origen y destino del mensaje ARP? 5. Cómo podemos saber que la trama Ethernet encapsula un mensaje ARP? 6. Cuál es la dirección Ethernet destino en el mensaje ARPrequest? Por qué tiene ese valor? 7. A qué corresponden los valores hexadecimales de las direcciones Ethernet en el mensaje ARP-reply? Javier Matanza 3 de 5

4 Imagen 2 - Captura ARP con Wireshark Javier Matanza 4 de 5

5 6.3 ARP INTERNET La idea aquí es ver cómo actúa Ethernet cuando existen dos subredes. Al intentar acceder a una ip perteneciente a otra subred, el router/switch que hace de enlace es el que debe de contestar al arp-request con su propia MAC, ya que conoce las ip/mac de todos los equipos de ambas subredes. El mismo router será el que forwarde el mensaje http una vez el equipo que inició la comunicación reciba el arp-reply. Mi idea para verlo claro es intentar realizar un traceo desde el mismo router/switch. Aunque este tenga dos interfaces (una para subred), podemos tracear ambas y hacer un merge de las capturas con Wireshark. Podemos aprovechar la herramienta de Flow Graph que incorpora para ver la comunicación gráficamente. Javier Matanza 5 de 5