Netzwerkanalyse und Fehlersuche

170 KAPITEL 11. NETZWERKANALYSE UND FEHLERSUCHE
Abbildung 11.1: DNS-Anfrage - man sieht, dass der Client zuerst nach einer IPv6 und dann
nach einer IPv4 Adresse anfragt
andere Layer2-Header. Dann kommt IP, IPv6 oder ein anderes Protokoll der Verbindungsschicht.
Darauf folgend der Transport-Kopf, also meistens der TCP- oder UDP-Header. Zum
Schluss sieht man die Applikationsdaten, die ethereal versucht weitestgehend zu interpretieren.
Im unteren Fensterdrittel stellt ethereal das Paket als Hexdump dar und markiert
den Protokollteil, der in der Mitte markiert wurde.
Die Paketanalyse wird denkbar einfach: Man starte Ethereal und wählen über das Menü
”Capture ¿ Start” aus. Hier trägt man noch das Interface ein, das mitgeschnitten werden
soll und los gehts mit ”OK”. Es erscheint ein neues Fenster ”Capture from ...”. Hat man
genug Pakete eingefangen stoppt man hier das Mitschneiden. Ethereal baut nun eine Liste
der Pakete auf und stellt sie wie oben beschrieben zur weiteren Betrachtung dar. Auch
ethereal erlaubt wie tcpdump das Laden und Speichern von Mitschnitten. Das geht ganz
einfach über das File-Menü.
Auch hier hat man vielleicht irgendwann soviele Daten mitgeschnitten, dass man mit
einfachem Umsortieren nicht mehr weiterkommt. Es lassen sich dazu Filter angeben, die
man entweder direkt in das Eingabefeld unterhalb der Menüzeile einfüttert oder den Assistenten
”Expression” neben dem Feld erstellen läßt. Letzterer erlaubt einem sehr einfach
Filter zu bauen. Dabei kann man dann fast nichts mehr falsch machen. Das Filtern auf eine
MAC-Quelladresse sieht dann beispielsweise so aus: ”eth.src == 00:10:A4:8D:56:0A”. Will
man auf IP Pakete filtern, die keine TCP-Payload haben, erreicht man das mit: ”ip.proto
!= 6”. Will man alle DNS-Antworten sehen, gebe man als Filter: ”dns.flags.response ==
1” an. Grenzen gibt es praktisch keine. Wenn ein Filter nichts matcht, sind nach dem
Druck auf den Button ”Apply” die unteren Fensterteile leer. Andernfalls finden sich dort
alle Pakete auf den der Filter passte. Sagte einem der Filter nicht zu, löscht man ihn mit
”Clear” und schon sieht man wieder den ursprünglichen Mitschnitt. Um wirklich zu realisieren,
wie einfach ein Netzwerkmitschnitt und dessen Analyse ist, starte man auf einer
Maschine eigener Wahl den Telnet-Dienst. Der muss vielleicht erst noch nachinstalliert und
dann aktiviert. Keine aktuelle Distribution bindet ihn standardmäßig mehr ein - Telnet ist