Einstieg in WireShark Netzwerk-Monitoring und -Analyse in der Praxis

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Specops Software GmbH

WireShark gehört zu den bekanntesten Tools, wenn es darum geht, den Netzwerkverkehr zu messen, zu protokolieren und Probleme zu identifizieren. Wir geben in diesem Beitrag einige Tipps zum Einstieg in die Lösung.

Wir haben im Beitrag „Erste Schritte mit WireShark“ bereits gezeigt, wie das bekannteste Open-Source-Werkzeug im Bereich der Netzwerkanalyse installiert wird und die ersten Messungen beginnen können. In diesem Beitrag vertiefen wir die Möglichkeiten zur Messung.

Npcap in Windows mit WireShark installieren

Die Installation von WireShark ist in kurzer Zeit abgeschlossen. Generell ist es sinnvoll alle Optionen bei der Installation aktiv zu lassen. Im Rahmen der Installation kann WireShark auch die aktuelle Version von Npcap installieren. Npcap und WinPcap sind Windows-Versionen der libpcap-Bibliothek. Auf dem PC muss entweder Npcap oder WinPcap installiert sein, um Live-Netzwerkverkehr unter Windows zu erfassen. WireShark enthält ab Version 3.x Npcap, die alten Versionen haben noch WinPcap genutzt. In Windows 10 und Windows Server 2016/2019 ist Npcap besser geeignet, um mit WireShark Daten im Netzwerk zu analysieren.

Bildergalerie

Bildergalerie mit 7 Bildern

Selbst bei den älteren WireShark-Versionen könnte Npcap besser funktionieren, wenn Windows 10 zum Einsatz kommt. Npcap wird aktiv weiterentwickelt und ist daher für moderne Betriebssysteme besser geeignet. Auf der Webseite von Nmap ist ein ausführlicher Vergleich zu finden. Die Erweiterung USBPcap kann auch den Datenverkehr von USB-Sticks sniffen, was allerdings selten notwendig ist.

WireShark einrichten

Nach der Installation und dem Start von WireShark, besteht der erste Schritt darin das Programm für die Messung vorzubereiten. Die wichtigsten Optionen dazu sind bei „Aufzeichnen\Optionen“ zu finden. Über „Schnittstellen verwalten“ stehen die lokalen Schnittstellen zur Verfügung, auf denen WireShark Aufzeichnungen durchführen kann. Auf der Registerkarte „Eingabe“ sind anschließend die Netzwerkschnittstellen zu finden, die WireShark zur Aufzeichnung nutzt.

Ebenso wichtig ist der Menüpunkt „Bearbeiten\Einstellungen\Mitschnitt“. Hier wird das Standard-Netzwerkinterface ausgewählt, das WireShark überwachen soll. Die Option „Paketliste in Echtzeit aktualisieren“ stellt, zusammen mit „Automatisches Scrollen während des Mitschnitts“ sicher, dass im Fenster immer die aktuell mitgeschnittenen Pakete erscheinen.

Ebenfalls sinnvoll ist bei „„Bearbeiten\Einstellungen“ der Menüpunkt „Name Resolution“. Hier sollte die Option „Resolve network (IP) addresses“ aktiviert sein. Dadurch versucht WireShark bei den angezeigten IP-Adressen auch den Namen der Geräte anzuzeigen.

Wichtig ist die Aktivierung des Promiscous Mode, auf deutschen Systemen „Pakete im promuskutiven Modus mitschneiden“. Dadurch ist sichergestellt, dass WireShark alle Pakete mitschneidet, nicht nur die Pakete die zum eigenen System geschickt werden. Die entsprechenden Optionen stehen auch bei „Aufzeichnen\Optionen“ über „Promiskutiven Modus für alle Schnittstellen aktivieren“ zur Verfügung.

Auf der Registerkarte „Ausgabe“ lässt sich festlegen, in welche Datei der Mitschnitt gespeichert werden soll. Um sicherzustellen, dass die Scandateien nicht die ganzen Datenträger belegen, kann mit „Einen Ringpuffer verwenden mit x Dateien“ eine automatische Überschreibung von älteren Dateien genutzt werden.

Die Registerkarte „Optionen“ spielt ebenfalls eine wichtige Rolle. Hier sollten die beiden bereits erwähnten Optionen „Paketliste in Echtzeit aktualisieren“ und „Automatisches Scrollen während des Mitschnitts“ aktiviert werden. Auch „Mac-Adressen auflösen“ und „Netzwerknamen auflösen“ sollte hier aktiviert werden.

Scans mit WireShark starten

Um Scans zu starten, reicht ein Klick auf das Haiflossen-Symbol aus. Mit dem Stop-Symbol wird der Vorgang beendet. Über den Menüpunkt „Datei“ lässt sich der aktuelle Vorgang speichern. Soll WireShark automatisch speichern, stehen auf der Registerkarte „Ausgabe“ bei „Aufzeichnen\Optionen“ die entsprechenden Informationen zur Verfügung. Im oberen Fenster zeigt WireShark die eingehenden Pakete an. Durch das Markieren eines Paketes zeigt WireShark den Inhalt des Paketes unten im Fenster an.

DHCP-Verkehr mit WireShark überprüfen

WireShark kann zum Beispiel auch dazu genutzt werden, um zu überprüfen, ob DHCP-Server ordnungsgemäß funktionieren. Im Rahmen des Abrufens einer IP-Adresse von einem DHCP-Server, schicken Clients DHCP-Discover-Pakete in das Netzwerk, um zu überprüfen, ob es DHCP-Server gibt. Die DHCP-Server antworten mit DHCP-Offer-Paketen und dem Vorschlag einer IP-Adresse. Diese lässt sich sehr leicht mit WireShark überprüfen.

Danach senden Clients einen DHCP-Request, um eine IP-Adresse zu erhalten und DHCP-Server senden eine DHCP-Acknowledge-Nachricht, um die Adresse zuzuweisen und zu bestätigen. Wenn ein Client seine IP-Adresse aufgibt, sendet er eine DHCP-Release-Nachricht an den DHCP-Server, von dem er eine Adresse erhalten hat. Funktioniert das Zuweisen einer IP-Adresse zu einem Client nicht, kann das mit WireShark überprüft werden. Die einfachste Vorgehensweise dazu ist folgende:

Die Aufzeichnung des Datenverkehrs in WireShark wird über das Start-Icon begonnen. Danach startet man den Computer, der eine IP-Adresse benötigt, oder stößt das erneute Abfragen einer IP-Adresse im laufenden Betrieb an – in Windows zum Beispiel mit „ipconfig /release“ und „ipconfig /renew“. Die Netzwerkdaten kann WireShark aufzeichnen. Hat der Client seine IP-Adresse erhalten, oder funktioniert der Vorgang nicht, weil der DHCP-Server nicht mit dem Client kommunizieren kann, wird die Messung mit WireShark beendet.

Über einen Klick auf die Spalte „Protocol“ ist es möglich eine Sortierung durchzuführen, auch ohne Dateien zu speichern oder Filter zu setzen. Über das Protokoll „DHCP“ sind die einzelnen Nachrichten zwischen Client und DHCP-Server zu finden. Anhand der transferierten Pakete wird dann schnell klar, wo das DHCP-Problem herkommt, zum Beispiel weil ein DHCP-Server nicht antwortet.

Durch einen Klick auf ein Paket, ist im unteren Bereich der Inhalt des Pakets zu sehen. Hier sind auch die IP-Adressen und Namen der beteiligten Computer erkennbar.

So funktioniert die Opensource-Netzwerkanalyse

Erste Schritte mit Wireshark

(ID:49685420)