Netzwerkanalyse und Fehlersuche

168 KAPITEL 11. NETZWERKANALYSE UND FEHLERSUCHE
meisten Netzwerkdienste laufen als Client-Server-Applikation. Dabei können Clients und
Server komplett unterschiedliche Maschinen sein und Betriebssysteme fahren. Damit sich
beide korrekt verständigen, kommt es darauf an, dass sie die ”richtige Sprache” miteinander
reden. Da das verbindende Element das dazwischenliegende TCP/IP-Netzwerk ist, lassen
sich durch die Beobachtung des Paketaustausches schon Rückschlüsse auf bestimmte Fehler
ziehen.
Wenn man sich vielleicht wundert, weshalb die Namensauflösung in Ihrem Netz so lange
dauert, oder was beim Teilumstieg auf IPv6 schief gegangen ist, reicht oft nicht das
Debugging an der Applikation aus. Da hilft dann vielleicht der Blick auf die Netzwerkschnittstellen
und in die Pakete hinein. Hierbei wird auch offenbar, wie einfach es ist, die
Daten mitzulesen, die Applikationen unverschlüsselt austauschen.
11.5.1 Analysen auf der Kommandozeile
Für die Kommandozeile existiert schon sehr lange das Programm tcpdump. Es basiert wie
das im Anschluss vorgestellte grafische Ethereal auf der Libpcap-Bibliothek. Diese stellt
Schnittstellen zur Verfügung, die es erlauben Pakete in ”Rohform” beispielsweise auf einem
Ethernet-Interface abzugreifen und zu interpretieren. Die Netzwerkschnittstelle, an
die sich tcpdump hängen soll, legt man mit der Option ”-i Interface” fest, z.B. tcpdump
-i eth1 für die zweite Ethernet-Karte. Im Augenblick des Starts beginnt tcpdump Pakete
mitzuschreiben und in die Konsole auszugeben. Dabei schreibt es nicht den gesamten Paketinhalt
heraus, sondern reduziert die Information auf wichtige IP-Header-Informationen,
wie Quell- und Zieladressen, sowie Quell- und Zielports. Neben diesen Daten stellt es die
Zeit des Paketempfanges sowie Teile des Inhalts, die es interpretieren konnte, dar. Eine
einfache Ausgabezeile ist somit wie folgt aufgebaut: ”Zeit Protokoll Quelle.Port ¿ Ziel.Port:
Kurzinterpretation des Inhalts” Will man statt der IP-Adressen die Link-Layer-Adressen,
z.B. MACs im Ethernet sehen, geschieht das durch die Angabe der Option ”-e”.
linux02:/tmp # tcpdump -i eth0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
17:24:06.921126 IP fay1.test.site.netbios-dgm > 10.17.9.255.netbios-dgm:
NBT UDP PACKET(138)
17:24:06.945264 IP linux022.test.site.32838 > dns1.wg.site.domain:
62160+ PTR? 255.9.230.132.in-addr.arpa. (44)
17:24:06.946275 IP dns1.wg.site.domain > linux022.test.site.32838:
62160 NXDomain* 0/1/0 (137)
17:24:06.946396 IP linux022.test.site.32838 > dns0.wg.site.domain:
62161+ PTR? 44.9.230.132.in-addr.arpa. (43)
17:24:06.947295 IP dns0.wg.site.domain > linux022.test.site.32838:
62161* 1/3/3 (212)
17:24:06.947546 IP linux022.test.site.32838 > dns1.wg.site.domain:
62162+ PTR? 201.200.17.10.in-addr.arpa. (46)
17:24:06.948799 IP dns1.wg.site.domain > linux022.test.site.32838:
62162* 1/3/3 (208)
17:24:06.954624 IP linux022.test.site.32838 > dns0.wg.site.domain:
62163+ PTR? 200.200.17.10.in-addr.arpa. (46)
17:24:06.955777 IP dns0.wg.site.domain > linux022.test.site.32838:
62163* 1/3/3 (208)
17:24:07.296782 802.1d config 8000.00:d0:95:7e:ec:3a.7205 root
8000.00:09:97:30:38:0a pathcost 4 age 1 max 20 hello 2 fdelay 15
17:24:07.922224 IP fay1.test.site.netbios-dgm > 10.17.9.255.netbios-dgm:
NBT UDP PACKET(138)
11 packets captured