Práctica de laboratorio: Uso de Wireshark para observar el
protocolo TCP de enlace de tres vías
Topología
Objetivos
Parte 1: Preparar Wireshark para la captura de paquetes
•
Seleccionar una interfaz NIC
apropiada para capturar paquetes.
Parte 2: Capturar, localizar y examinar paquetes
•
Capturar una sesión Web para
www.google.com.
•
Localizar paquetes apropiados
para una sesión Web.
•
Examinar la información de los paquetes, como direcciones IP, números de puerto TCP e indicadores de control TCP.
Examinar la información de los paquetes, como direcciones IP, números de puerto TCP e indicadores de control TCP.
Información básica/Situación
En esta práctica de laboratorio,
utilizará Wireshark para capturar y examinar paquetes que se generan entre el explorador
de la PC mediante el protocolo de transferencia de hipertexto (HTTP) y un
servidor Web, como www.google.com. Cuando una
aplicación, como HTTP o el protocolo de transferencia de archivos (FTP), se
inicia primero en un host, TCP utiliza el protocolo de enlace de tres vías para
establecer una sesión TCP confiable entre los dos hosts. Por ejemplo, cuando
una PC utiliza un explorador Web para navegar por Internet, se inicia un
protocolo de enlace de tres vías y se establece una sesión entre el host de la
PC y el servidor Web. Una PC puede tener varias sesiones TCP simultáneas
activas con diversos sitios Web.
|
Nota: esta práctica de laboratorio no se puede realizar utilizando
Netlab. Para la realización de esta práctica
|
|
|
de laboratorio, se da por sentado que tiene acceso a Internet
|
.
|
Recursos
necesarios
1 PC (Windows 7, Vista o XP con acceso al
símbolo del sistema, acceso a Internet y Wireshark instalado)
Parte 1: Preparar Wireshark para capturar paquetes
En la parte 1, inicia el programa
Wireshark y selecciona la interfaz apropiada para comenzar a capturar paquetes.
Paso 1: Recuperar las direcciones de la interfaz de la PC
Para esta práctica de laboratorio, deberá
recuperar la dirección IP de la PC y la dirección física de la tarjeta de
interfaz de red (NIC), que también se conoce como “dirección MAC”.
a.
Abra una ventana del símbolo
del sistema, escriba ipconfig /all y
luego presione Entrar.
b.
Anote las direcciones IP y MAC
asociadas al adaptador Ethernet seleccionado, ya que esa es la dirección de
origen que debe buscar al examinar los paquetes capturados.
Dirección IP del host de la PC: 192.168.1.94
Dirección MAC del host de la PC: 04:7D:7B:32:A2:9C
Paso 2: Iniciar Wireshark y seleccionar la interfaz apropiada
a.
Haga clic en el botón Inicio de Windows y, en el menú
emergente, haga doble clic en Wireshark.
b.
Una vez que se inicia
Wireshark, haga clic en Interface List
(Lista de interfaces).
c.
En la ventana Wireshark: Capture Interfaces
(Wireshark: capturar interfaces), haga clic en la casilla de verificación junto
a la interfaz conectada a la LAN.
Nota: si se indican varias interfaces, y no está seguro de cuál activar,
haga clic en Details (Detalles).
Haga clic en la ficha 802.3 (Ethernet)
y verifique que la dirección MAC coincida con la que anotó en el paso 1b.
Después de realizar esta verificación, cierre la ventana Interface Details
(Detalles de la interfaz).
Parte 2: Capturar, localizar y examinar paquetes
Paso 1: Hacer clic en el botón Start (Comenzar) para iniciar la captura de datos
a.
Acceda a www.google.com.
Minimice la ventana de Google y vuelva a Wireshark. Detenga la captura de
datos. Debería ver tráfico capturado similar al que se muestra a continuación,
en el paso b.
Nota: es posible que el instructor le proporcione un sitio Web
diferente. En ese caso, introduzca el nombre del sitio Web o la dirección aquí:
____________________________________________________________________________________
b.
La ventana de captura ahora
está activa. Ubique las columnas Source
(Origen), Destination (Destino) y Protocol (Protocolo).
Paso 2: Localizar paquetes adecuados para la sesión Web
Si la PC se inició recientemente y no
hubo actividad al acceder a Internet, puede ver todo el proceso en el resultado
de la captura, incluido el protocolo de resolución de direcciones (ARP), el
sistema de nombres de dominios (DNS) y el protocolo TCP de enlace de tres vías.
La captura de pantalla de la parte 2, paso 1, muestra todos los paquetes que la
PC debe obtener para www.google.com. En este caso, la PC ya tenía una entrada
de ARP para el gateway predeterminado; por lo tanto, comenzó con la consulta
DNS para resolver www.google.com.
a.
En la trama 11, se muestra la
consulta DNS de la PC al servidor DNS, mediante la que se intenta resolver el
nombre de dominio, www.google.com, a la dirección IP del servidor Web. La PC
debe tener la dirección IP para poder enviar el primer paquete al servidor Web.
¿Cuál es la dirección IP del servidor DNS
que consultó la PC? 192.168.1.94
b.
La trama 12 es la respuesta del
servidor DNS con la dirección IP de www.google.com.
c.
Busque el paquete apropiado
para iniciar el protocolo de enlace de tres vías. En este ejemplo, la trama 15
es el inicio del protocolo TCP de enlace de tres vías.
¿Cuál
es la dirección IP del servidor Web de Google? 173.194.37.152
d.
Si tiene muchos paquetes que no
están relacionados con la conexión TCP, es posible que sea necesario usar la
capacidad de filtro de Wireshark. Escriba tcp
en el área de entrada de filtro de Wireshark y presione Entrar.
Paso 3: Examinar la información de los paquetes, como direcciones IP, números de puerto TCP e indicadores de control TCP
a.
En el ejemplo, la trama 15 es
el inicio del protocolo de enlace de tres vías entre la PC y el servidor Web de
Google. En el panel de la lista de paquetes (en la sección superior de la
ventana principal), seleccione la trama. La línea se resalta, y en los dos
paneles inferiores se muestra la información decodificada proveniente de ese
paquete. Examine la información de TCP en el panel de detalles del paquete
(sección media de la ventana principal).
b.
Haga clic en el ícono + que se encuentra a la izquierda del
protocolo de control de transmisión (TCP) del panel de detalles del paquete
para ampliar la vista de la información de TCP.
c.
Haga clic en el ícono + que está a la izquierda de los
indicadores. Observe los puertos de origen y destino y los indicadores que
están establecidos.
Nota: es posible que tenga que ajustar los tamaños de las ventanas
superior y media de Wireshark para visualizar la información necesaria.
¿Cuál es el número de puerto de origen
TCP? 57113
¿Cómo clasificaría el puerto de origen? Dinámico o privado
¿Cuál es el número de puerto de destino
TCP? 443
¿Cómo clasificaría el puerto de destino? Conocido o registrado
¿Qué indicadores están establecidos? SYN
¿Cuál es el número de secuencia relativa
establecido? 1
d.
Para seleccionar la próxima
trama en le protocolo de enlace de tres vías, seleccione Go (Ir) en la barra de menús de Wireshark y, luego, Next Packet in Conversation (Siguiente
paquete de la conversación). En este ejemplo, es la trama 16. Esta es la
respuesta del servidor Web de Google a la solicitud inicial para iniciar una
sesión.
¿Cuáles
son los valores de los puertos de origen y destino? 80 Y 57119
¿Qué
indicadores están establecidos? Acuse
de recibo ACK y sincronización SYN
¿Cuáles
son los números de acuse de recibo y de secuencia relativa establecidos? Número de secuencia relativa es 0 y el de acuse de
recibo 1.
e.
Por último, examine el tercer
paquete del protocolo de enlace de tres vías en el ejemplo. Al hacer clic en la
trama 17 en la ventana superior, aparece la siguiente información en este
ejemplo:
Examine el tercer y último paquete del
protocolo de enlace.
¿Qué indicadores están establecidos? Sólo ACK.
Los números de acuse de recibo y de
secuencia relativa están establecidos en 1 como punto de inicio. La conexión
TCP ahora está establecida, y la comunicación entre la PC de origen y el
servidor Web puede comenzar.
f.
Cierre el programa Wireshark.
Reflexión
1. Hay cientos de
filtros disponibles en Wireshark. Una red grande puede tener numerosos filtros
y muchos tipos de tráfico diferentes. ¿Cuáles son los tres filtros de la lista
que podrían ser los más útiles para un administrador de red? Considero que los filtros más útiles son el HTTP,
TCP y el FTP. Por otra parte resulta interesantes los filtros ICMP (Mensajes de
control de error en Internet, usado cuando hacemos ping a otro equipo), TCP
(Para examinar sólo los paquetes relacionados con la conexión TCP y DNS
(Sistema de nombres de dominio, que traduce nombres de dominio en direcciones
IP.
2. ¿De qué otras formas podría utilizarse Wireshark en una red de
producción?
·
Para efectos
de seguridad y detección de posibles problemas en la transmisión de paquetes.
·
Se puede usar
Wireshark para analizar e identificar el tipo de tráfico de una red, con el fin
de solucionar y prevenir distintos problemas que puedan aparecer.
No hay comentarios:
Publicar un comentario