Lab 07: Wireshark - Introducción

Transcripción

1 Departamento Académico de Informática Ingº Manuel Peñaloza Figueroa Dime y lo olvidaré. Muéstrame y lo recordaré. Involúcrame y lo entenderé Proverbio chino 1. OBJETIVOS: 1.1 Entender los fundamentos de la comunicación por redes. 1.2 Aprender el uso del sniffer de paquetes Wireshark (una herramienta para observar los mensajes intercambiados entre entidades de protocolos en ejecución). 2. BASE TEORICA COMPLENTARIA Lab Wireshark: Comenzando 1 La comprensión de cualquier persona de los protocolos de red con frecuencia puede ser grandemente profundizada con "ver los protocolos en acción" y "con jugar con los protocolos" observando la secuencia de mensajes intercambiados entre dos entidades de protocolo, ahondando en los detalles de la operación del protocolo, y provocando a los protocolos para realizar ciertas acciones y luego observar estas acciones y sus consecuencias. Esto puede hacerse en escenarios simulados ó en un "verdadero" entorno de red tal como el Internet. Los applets de Java que acompañan este texto toman el primer enfoque. En estos Labs Wireshark 2, se tomará el último enfoque. Se estará corriendo diversas aplicaciones de red en diferentes escenarios utilizando una computadora en el escritorio, en la casa, o en un laboratorio. Se observará los protocolos de red en la computadora "en acción", interactuando e intercambiando mensajes con las entidades de protocolos ejecutándose en otra parte del Internet. Así, usted y su computadora serán parte integrante de estos laboratorios "en vivo". Se observará, y se aprenderá, haciendo. La herramienta básica para observar los mensajes intercambiados entre entidades de protocolos en ejecución es llamada un sniffer de paquetes. Como el nombre sugiere, un sniffer de paquetes captura ("huele") los mensajes enviados/recibidos desde/por la computadora; también típicamente almacenará y/o visualizará los contenidos de los diversos campos del protocolo en estos mensajes capturados. Un sniffer de paquetes por si mismo es pasivo. Observa los mensajes a ser enviados y recibidos por las aplicaciones y los protocolos corriendo en la computadora, pero nunca envía paquetes por si mismo. De la misma manera, paquetes recibidos nunca son explícitamente dirigidos al sniffer de paquetes. En cambio, un sniffer de paquetes recibe una copia de los paquetes que son 1 Adaptado de: Wireshark Labs: Versión: 2.0, 2007 J.F. Kurose, K.W. Ross. 2 Versiones anteriores de estos laboratorios usaban el analizador de paquetes Ethereal. En mayo 2006, el desarrollador de Ethereal se sumó a una nueva empresa, y tuvo que dejar la marca registrada Ethereal detrás. Él entonces creó el analizador de protocolos de red Wireshark, un sucesor de Ethereal. Dado que Ethereal ya no está siendo activamente mantenido o desarrollado, así se ha conmutado estos labs a Wireshark. 1 Leunam

2 enviados/recibidos desde/por la aplicación y los protocolos ejecutándose en la máquina. La figura 1 muestra la estructura de un sniffer de paquetes. A la derecha de la Figura 1 están los protocolos (en este caso, los protocolos de Internet) y las aplicaciones (tal como un navegador web ó un cliente ftp) que normalmente corren en la computadora. El sniffer de paquetes, mostrado dentro del rectángulo de rayas en la figura 1 es una adición al software usual en la computadora, y consta de dos partes. La librería de captura de paquetes recibe una copia de cada frame de la capa-de-enlace que es enviada desde ó recibida por la computadora. Recuerde que los mensajes intercambiados por los protocolos de las capas superiores tales como HTTP, FTP, TCP, UDP, DNS, o IP todos son eventualmente encapsulados en frames de la capa-de-enlace los que son transmitidos por medios físicos tal como un cable Ethernet. En la Figura 1, el medio físico supuesto es un Ethernet, y así todos protocolos de las capas superiores son eventualmente encapsulados dentro de un frame Ethernet. Capturando todos los frames de la capa-de-enlace de este modo te da todos los mensajes enviados/recibidos desde/por todos los protocolos y aplicaciones corriendo en la computadora. Figura 1: Estructura del sniffer de paquetes El segundo componente de un sniffer de paquetes es el analizador de paquetes, que muestra el contenido de todos los campos dentro de un mensaje del protocolo. Para hacerlo, el analizador de paquetes tiene que "comprender" la estructura de todos los mensajes intercambiados por los protocolos. Por ejemplo, supongamos que se está interesado en mostrar los diversos campos en los mensajes intercambiados por el protocolo HTTP en la figura 1. El analizador de paquetes entiende el formato de los frames Ethernet, y así puede identificar el datagrama IP datagrama dentro de un frame Ethernet. También entiende el formato del datagrama IP, así que puede extraer el segmento TCP dentro del datagrama IP. Finalmente, entiende la estructura del segmento TCP, así puede extraer el mensaje HTTP contenido en el segmento TCP. Finalmente, entiende el protocolo HTTP y así, por ejemplo, sabe que los primeros bytes de un mensaje HTTP contendrán el string "GET", "POST", Ó "HEAD". Se usará el sniffer de paquetes Wireshark [ para estos labs, lo que permite visualizar los contenidos de los mensajes enviados/recibidos desde/por

3 los protocolos en diferentes niveles del stack de protocolos. (Técnicamente hablando, Wireshark es un analizador de paquetes que usa una librería de captura de paquetes en la computadora). Wireshark es un analizador de protocolo de red libre que corre sobre computadoras Windows, Linux/Unix, y Mac. Es un analizador de paquetes ideal para nuestros labs es estable, tiene una gran base de usuarios y soporte bien documentado que incluye una guía del usuario ( página "man" ( y un detallado FAQ ( rica funcionalidad que incluye la capacidad para analizar cientos de protocolos, y una bien diseñada interfaz de usuario. Opera en computadoras utilizando Ethernet, Token Ring, FDDI, serial (PPP y SLIP), LAN's inalámbricas 802,11, y conexiones ATM (si el SO sobre el cual se está ejecutando permite a Wireshark hacerlo). Obteniendo Wireshark Para correr Wireshark, se necesitará tener acceso a una computadora que soporte tanto Wireshark como la librería de captura de paquetes libpcap ó WinPCap. El software libpcap será instalado, si no está instalado dentro del SO, cuando se instala Wireshark. Ver para una lista de los SO's soportados y sitios de descarga. Descargar e instalar el software Wireshark: Ir a y descargar e instalar el binario Wireshark para la computadora. Descargar la guía del usuario Wireshark. El FAQ Wireshark tiene un número de sugerencias útiles y delicadezas interesantes de información, particularmente si se tiene problemas para instalar ó correr Wireshark.

4 Ejecutando Wireshark Cuando se inicia el programa Wireshark, la interface gráfica de usuario de Wireshark mostrada en el Figura 2 será displayada. Esta ventana provee acceso rápido a algunos ítems que se usan con frecuencia desde el menú. Inicialmente, la ventana no muestra ningún dato. Figura 2: Interfaz Gráfica del Usuario de inicio de Wireshark Después que se ejecuta la captura de datos, la interface gráfica de usuario de Wireshark de la Figura 3 será mostrada. Menú de comandos Barra de herramientas principal Barra de herramientas de filtros Panel lista de paquetes capturados Panel detalles del paquete seleccionado Panel bytes del paquete seleccionado en hexadecimal y ASCII Figura 3: Interfaz Gráfica del Usuario de Wireshark

5 La interfaz Wireshark tiene los siguientes componentes principales: El menú de comandos: es un menú estándar desplegable ubicado a en la parte superior de la ventana. De interés para nosotros ahora son el menú File y Capture. El menú File permite guardar datos de paquetes capturados ó abrir un archivo que contiene datos de paquetes previamente capturados, y salir de la aplicación Wireshark. El menú Capture permite comenzar a capturar paquetes. La ventana lista de paquetes capturados: muestra un resumen de 1-línea para cada paquete capturado, incluyendo el número de paquete (asignado por Wireshark; esto no es un número de paquete contenido en el encabezado de algún protocolo), el momento en que el paquete fue capturado, las direcciones fuente y de destino del paquete, el tipo de protocolo, e información específicadel-protocolo contenida en el paquete. El listado del paquete puede ser ordenado conforme a cualquiera de estas categorías con hacer clic sobre un nombre de columna. El campo protocol type lista el protocolo de más alto nivel que envió ó recibió paquete, i.e., el protocolo que es la fuente o el sumidero final para este paquete. La ventana detalles del paquete seleccionado: provee detalles acerca del paquete seleccionado (resaltado) en la ventana lista de paquetes capturados. (Para seleccionar un paquete en la ventana lista de paquetes capturados, coloque el cursor sobre el resumen de 1-línea del paquete en la ventana lista de paquetes capturados y haga clic con el botón izquierdo del mouse). Estos detalles incluyen información acerca del frame Ethernet (suponiendo que el paquete fue enviado/recibido sobre una interfaz Ethernet) y del datagrama IP que contiene este paquete. La cantidad de detalle Ethernet y de la capa-ip mostrada puede ser ampliada ó minimizada con hacer clic en las cajas más-omenos a la izquierda de la línea del frame Ethernet ó datagrama IP en la ventana packet details. Si el paquete ha sido acarreado por TCP ó UDP, los detalles TCP ó UDP también serán mostrados, los cuales pueden similarmente ser ampliados ó minimizados. Finalmente, detalles acerca del protocolo del más alto nivel que envió ó recibió este paquete también son proporcionados. La ventana detalles del paquete seleccionado: muestra todo el contenido del frame capturado, tanto en formato ASCII como en hexadecimal. Hacia la parte superior de la interfaz gráfica de usuario de Wireshark, está la barra de herramientas de filtros, en el cual un nombre de protocolo u otra información puede ser entrada a fin de filtrar la información mostrada en la ventana lista de paquetes capturados (y por lo tanto en las ventanas detalles del paquete seleccionado y bytes del paquete seleccionado). En el ejemplo de más adelante, se usará el campo asociado a la barra de herramientas de filtros para hacer que Wireshark oculte (no muestre) los paquetes salvo aquellos que corresponden a mensajes HTTP.

6 3. DESARROLLO DE LA PRACTICA Ejecutando Wireshark para una Corrida de Prueba: La mejor manera de aprender acerca de cualquier nueva pieza de software es probarlo! Se supondrá que la computadora está conectada al Internet mediante una interfaz Ethernet cableada (se puede usar también la interfaz de red inalámbrica). Hacer lo siguiente: 1. Arranque su navegador Web favorito, que mostrará el homepage seleccionado. 2. Arranque el software Wireshark. Inicialmente se verá una ventana similar al que aparece en el Figura 2, puesto que Wireshark todavía no ha comenzado a capturar paquetes. 3. Para empezar la captura de paquetes, seleccionar el menú desplegable Capture y seleccionar Options. Esto provocará que la ventana "Wireshark: Capture Options" sea visualizada, como se muestra en la Figura 4. Figura 4: Ventana Capture Options de Wireshark

7 4. Se puede utilizar la mayoría de los valores predeterminados en esta ventana, pero deseleccione "Hide capture info dialog" bajo la zona Display Options. La interfaces de red (i.e., las conexiones físicas) que la computadora tiene a la red será mostrado en el menú desplegable Interface en la parte superior de la ventana Capture Options. En caso que la computadora tenga más de una interfaz de red activa (e.g., si tiene tanto una conexión inalámbrica y un Ethernet cableado), se necesitará seleccionar la interfaz que está siendo utilizado para enviar y recibir paquetes (en la mayoría de los casos probablemente la interfaz cableada). Después de seleccionar la interfaz de red (o usar la interfaz por defecto elegida por Wireshark), haga clic en Start. La captura de paquetes ahora comenzará - todos los paquetes enviados/recibidos desde/por la computadora ahora están siendo capturados por Wireshark! 5. Una vez que se empieza a capturar paquetes, un ventana Wireshark: Capture from (un resumen de la captura de paquetes) aparecerá, como se muestra en la Figura 5. Esta ventana resume el número de paquetes de diversos tipos que están siendo capturados, y (importante!) contiene el botón Stop que permitirá detener la captura de paquetes. No detener captura de paquetes todavía. Figura 5: Ventana Packet Capture de Wireshark 6. Mientras Wireshark está ejecutándose, entrar el URL: y tener esa página visualizada en el navegador. Para mostrar esta página, el navegador contactará el servidor HTTP en gaia.cs.umass.edu e intercambiará mensajes HTTP con el servidor para descargar esta página, como discutido en clases. Los frames Ethernet conteniendo estos mensajes HTTP serán capturados por Wireshark.

8 7. Después que el navegador ha mostrado la página Web INTRO-wiresharkfile1.html, detener la captura de paquetes Wireshark seleccionando stop en la ventana Capture de Wireshark. Esto provocará que la ventana Capture de Wireshark desaparezca y ventana principal de Wireshark muestre todos los paquetes capturados desde que comenzó captura de paquetes. La ventana principal de Wireshark debe ahora parecer similar a la Figura 3. Ahora se tiene datos de paquetes vivos que contienen todos los mensajes de protocolos intercambiados entre la computadora y otras entidades de red! Los intercambios de mensajes HTTP con el servidor web gaia.cs.umass.edu deben de aparecer en alguna parte en la lista de paquetes capturados. Pero habrá muchos otros tipos de paquetes mostrados también (véase, e.g., los muchos tipos de protocolo diferentes mostrados en la columna Protocol en la figura 3). Aun cuando la única acción tomada fue descargar una página web, evidentemente hubo muchos otros protocolos corriendo en la computadora que no son vistos por el usuario. Se aprenderá mucho más acerca de estos protocolos a medida que se progrese a través del texto! Por ahora, se debe ser consciente que hay con frecuencia mucho más ocurriendo que lo que " el ojo encuentra!". 8. Tipear "http" (sin las comillas, y en minúsculas todos los nombres de protocolos están en minúsculas en Wireshark) en el campo de la barra de herramientas de filtros de visualización en la parte superior de la ventana principal de Wireshark. Luego seleccionar Apply (a la derecha de donde se entró "http"). Esto provocará que sólo mensajes HTTP sean mostrados en ventana lista de paquetes capturados. Figura 5: Pantalla de Wireshark después del paso 8.

9 9. Seleccionar el primer mensaje http mostrado en la ventana lista de paquetes capturados. Este debería ser el mensaje HTTP GET que fue enviada desde la computadora al servidor HTTP gaia.cs.umass.edu. Cuando se selecciona el mensaje HTTP GET, la información del frame Ethernet, del datagrama IP, del segmento TCP, y del encabezado del mensaje HTTP serán mostrados en la ventana detalles del paquete seleccionado 3. Con hacer clic en las casillas +/- a la izquierda de la ventana detalles del paquete seleccionado, Minimiza la cantidad de información del Frame Ethernet, Protocolo Internet, y Protocolo de Control de Transmisión mostrada ó Maximiza la cantidad de información mostrada acerca del protocolo HTTP. La pantalla Wireshark debería ahora parecer a grandes rasgos como la mostrada en la Figura 7. (Nota, en particular, la cantidad minimizada de información del protocolo para todos los protocolos salvo HTTP, y la cantidad al maximizada de información del protocolo para HTTP en la ventana detalles del paquete seleccionado). 10. Salir de Wireshark Congratulaciones! Ahora se ha completado el lab Wireshark - Introducción. Figura 7: Pantalla de Wireshark después del paso 9. 3 Recordar que el mensaje HTTP GET que es enviado al servidor web gaia.cs.umass.edu esta contenido dentro de un segmento TCP, el cual está contenido en un datagrama IP, el cual está encapsulado en un frame Ethernet. Si este proceso de encapsulación no es bastante claro todavía, regresar a Redes y Teleproceso I.

10 4. CONTROL: Qué entregar? El objetivo de este lab Wireshark fue principalmente introducirnos justamente en Wireshark. Los siguientes preguntas demostrarán que se ha sido capaz de obtener de Wireshark instalado y ejecutándose, y se ha explorado algunas de sus capacidades. Responder las siguientes preguntas, basado en la experimentación de Wireshark: 1. Listar hasta 10 protocolos diferentes que aparecen en la columna protocol en la ventana lista de paquetes capturados no filtrada en el paso 7 de arriba. 2. Cuanto tiempo tomó desde que el mensaje HTTP GET fue enviada hasta que la réplica HTTP OK fue recibida? (Por defecto, el valor de la columna Time en la ventana lista de paquetes capturados es la cantidad de tiempo, en segundos, desde que el trazado Wireshark comenzó. Para mostrar el campo Time en el formato time-of-day, seleccionar el menú desplegable View de Wireshark, luego seleccionar Time Display Format, entonces seleccionar Time-of-day). 3. Cuál es la dirección de Internet de gaia.cs.umass.edu (también conocido como www-net.cs.umass.edu)? Cuál es la dirección de Internet de la computadora? 4. Imprimir los dos mensajes HTTP mostrados en el paso 9 de arriba. Para hacerlo, seleccionar Print desde el menú del comando File de Wireshark, y seleccionar "Selected Packet Only" y "Print as displayed" y luego clic OK. 5. BIBLIOGRAFÍA: Adaptado de: Wireshark Labs: Versión: J.F. Kurose, K.W. Ross.