2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 1 von 20

bung - Anzeigen von Netzverkehr mit Wireshark

Topologie

Lernziele

Teil 1: (Optional) Herunterladen und Installieren von Wireshark

Teil 2: Erfassen und analysieren von lokalen ICMP-Daten in Wireshark

Datenerfassung von Ping-Verkehr zu lokalen Hosts starten und stoppen

IP- und MAC-Adressinformationen in erfassten PDUs ermitteln

Teil 3: Erfassen und analysieren von Remote-ICMP-Daten in Wireshark

Datenerfassung von Ping-Verkehr zu Remote-Hosts starten und stoppen

IP- und MAC-Adressinformationen in erfassten PDUs ermitteln

Warum sich MAC-Adressen fr Remote-Hosts von MAC-Adressen lokaler Hosts unterscheiden

Hintergrund / Szenario

Wireshark ist ein Software-Protokoll-Analysator oder eine "Paket-Sniffer"-Anwendung zur Fehlersuche, Analyse, Software- und Protokollentwicklung sowie Ausbildung im Netzwerk. Sobald Datenstrme ber das Netzwerk hin und her wandern, "fngt" der Sniffer jede Protokolldateneinheit (PDU) ein und kann gem der entsprechenden RFC oder sonstigen Spezifikationen deren Inhalt dekodieren und analysieren.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 2 von 20

Wireshark ist ein ntzliches Werkzeug fr alle, die mit Netzwerken arbeiten und kann mit den meisten bungen in den CCNA-Kursen zur Datenanalyse und Fehlersuche verwendet werden. Diese bung enthlt Anweisungen zum Herunterladen und Installieren von Wireshark, auch wenn es mglicherweise bereits installiert ist. In dieser bung werden Sie Wireshark nutzen, um ICMP-Datenpaket, IP-Adressen und Ethernet-Frame-MAC-Adressen zu erfassen.

Erforderliche Ressourcen

1 PC (Windows 7, Vista oder XP mit Internet-Zugang)

Zustzliche PCs in einem lokalen Netzwerk (LAN) werden verwendet, um auf Ping-Anfragen zu

antworten.

Part 1: (Optional) Herunterladen und Installieren von Wireshark

Wireshark ist das Paket-Sniffer-Standardprogramm der Industrie geworden, das von Netzwerktechnikern eingesetzt wird. Diese Open-Source-Software ist fr viele verschiedene Betriebssysteme einschlielich Windows, Mac und Linux verfgbar. In Teil 1 dieser bung werden Sie das Wireshark-Software-Programm auf Ihren PC herunterladen und installieren.

Hinweis: Falls Wireshark bereits auf Ihrem PC bereits installiert ist, berspringen Sie Teil 1 und gehen direkt zu Teil 2. Falls Wireshark nicht auf Ihrem PC installiert ist, prfen Sie mit Ihrem Instruktor die Softwaredownloadrichtlinien Ihrer Bildungseinrichtung.

Step 1: Wireshark herunterladen

a. Wireshark kann heruntergeladen werden von www.wireshark.org.

b. Klicken Sie auf Download Wireshark.

http://www.wireshark.org/

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 3 von 20

c. Whlen Sie die Softwareversion, die Sie fr Ihre PC-Architektur und Ihr Betriebssystem bentigen. Wenn Sie zum Beispiel einen 64-Bit-PC mit Windows haben, whlen Sie Windows Installer (64-bit).

Nachdem Sie eine Auswahl getroffen haben, sollte der Download beginnen. Der Speicherort fr die heruntergeladenen Dateien ist abhngig von dem verwendeten Browser und Betriebssystem. Fr Windows-Benutzer ist der Standard-Speicherort der Ordner Downloads.

Step 2: Wireshark installieren

a. Die heruntergeladene Datei hat den Namen Wireshark-win64-x.x.x.exe, wobei x die Versionsnummer darstellt. Doppelklicken Sie auf die Datei, um die Installation zu starten.

b. Reagieren Sie auf alle Sicherheitsmeldungen, die auf dem Bildschirm angezeigt werden. Wenn Sie bereits eine Kopie von Wireshark auf dem PC haben, werden Sie aufgefordert, die alte Version vor der Installation der neuen Version zu deinstallieren. Es wird empfohlen, die alte Version von Wireshark vor der Installation einer anderen Version zu entfernen. Klicken Sie auf Yes, um die vorhergehende Version von Wireshark zu deinstallieren.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 4 von 20

c. Falls Wireshark zum ersten Mal installiert wird oder nachdem Sie die Deinstallation beendet haben, werden Sie zum Wireshark Setup-Assistenten navigieren. Klicken Sie auf Next.

d. Fahren Sie mit der Installation fort. Klicken Sie auf I Agree, wenn das License Agreement-Fenster angezeigt wird.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 5 von 20

e. Behalten Sie die Standardeinstellungen im Fenster Choose Components und klicken Sie auf Next.

f. Whlen Sie Ihre gewnschten Shortcut-Optionen und klicken Sie auf Next.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 6 von 20

g. Sie knnen den Installationsort fr Wireshark ndern, aber sofern Sie keinen unbegrenzten Festplattenspeicher haben, wird empfohlen, den Standardspeicherort beizubehalten.

h. Zum Erfassen von Live-Netzwerkdaten muss WinPcap auf Ihrem PC installiert sein. Falls WinPcap bereits auf Ihrem PC installiert ist, wird das Kontrollkstchen Install deaktiviert sein. Falls Ihre installierte Version von WinPcap lter als die Version ist, die mit Wireshark geliefert wird, wird empfohlen, dass Sie die Installation der neueren Version zulassen, indem Sie auf das Kontrollkstchen Install WinPcap x.x.x (Versionsnummer) klicken.

i. Beenden Sie den Setup-Assistenten von WinPcap, falls Sie WinPcap installieren.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 7 von 20

j. Wireshark startet die Installation seiner Dateien und ein separates Fenster mit dem Status der Installation wird angezeigt. Klicken Sie auf Next, wenn die Installation abgeschlossen ist.

k. Klicken Sie auf Finish, um die Installation von Wireshark zu beenden.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 8 von 20

Part 2: Erfassen und analysieren von lokalen ICMP-Daten in Wireshark

In Teil 2 dieser bung werden Sie einen Ping an einen anderen PC in dem LAN senden und ICMP-Anfragen und Antworten in Wireshark erfassen. Sie werden auerdem in den erfassten Rahmen nach spezifischen Informationen suchen. Diese Analyse soll klren, wie Paket-Header verwendet werden, um Daten zu ihrem Bestimmungsort zu transportieren.

Step 1: Interface-Adressen Ihres PCs abrufen

Fr diese bung mssen Sie die IP-Adresse Ihres PCs und die physikalische Adresse seiner Netzwerkkarte (NIC), auch MAC-Adresse genannt, abrufen.

a. ffnen Sie das Befehlsfenster, geben Sie ipconfig /all ein und drcken Sie die Eingabetaste.

b. Notieren Sie die IP-Adresse und (physikalische) MAC-Adresse Ihrer PC-Schnittstelle.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 9 von 20

c. Fragen Sie einen Teamkollegen nach der IP-Adresse seines PCs und geben Sie ihm die IP-Adresse Ihres PCs. Geben Sie an dieser Stelle noch nicht Ihre MAC-Adresse weiter.

Step 2: Wireshark starten und mit dem Erfassen von Daten beginnen

a. Auf Ihrem PC klicken Sie auf die Schaltflche Windows Start, um Wireshark als eines der Programme in dem Pop-up-Men zu sehen. Doppelklicken Sie auf Wireshark.

b. Nachdem Wireshark gestartet ist, klicken Sie auf Interface List.

Hinweis: Durch Klicken auf das erste Schnittstellensymbol in der Symbolleiste ffnet sich auch die Schnittstellenliste.

c. Im Fenster Wireshark: Capture Interfaces klicken Sie auf das Kontrollfeld neben der Schnittstelle, die mit Ihrem LAN verbunden ist.

Hinweis: Falls mehrere Schnittstellen aufgefhrt sind und Sie unsicher sind, welche Schnittstelle Sie aktivieren sollen, klicken Sie auf die Schaltflche Details und dann auf die Registerkarte 802.3 (Ethernet). Stellen Sie sicher, dass die MAC-Adresse mit der Adresse bereinstimmt, die Sie in Schritt 1b notiert haben. Nach Verifizieren der richtigen Schnittstelle schlieen Sie das Fenster Interface Details.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 10 von 20

d. Nachdem Sie die richtige Schnittstelle aktiviert haben, klicken Sie auf Start, um mit der Datenerfassung zu beginnen.

Informationen beginnen, ber den oberen Abschnitt in Wireshark herunterzurollen. Die Datenzeilen erscheinen in verschiedenen Farben beruhend auf dem Protokoll.

e. Diese Informationen knnen sehr schnell vorbeirollen, je nachdem, welche Kommunikation zwischen Ihrem PC und dem LAN gerade stattfindet. Wir knnen einen Filter anwenden, damit es einfacher wird, die von Wireshark erfassten Daten anzusehen und damit zu arbeiten. In dieser bung interessieren wir uns nur fr die Anzeige von ICMP (ping)-PDUs. Geben Sie icmp im Filterfeld oben von Wireshark ein und drcken Sie die Eingabetaste oder klicken Sie auf die Schaltflche Apply, um nur ICMP (ping)-PDUs anzuzeigen.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 11 von 20

f. Dieser Filter fhrt dazu, dass alle Daten im oberen Fenster verschwinden, Sie erfassen jedoch immer noch den Verkehr auf der Schnittstelle. Gehen Sie zurck in das vorher geffnete Befehlseingabefenster und senden Sie einen Ping an die IP-Adresse, die Sie von Ihrem Teamkollegen erhalten haben. Beachten Sie, dass wieder Daten im oberen Fenster von Wireshark erscheinen.

Hinweis: Falls der PC Ihres Teamkollegen nicht auf Ihre Pings antwortet, blockiert mglicherweise die Firewall auf dessen PC diese Anfragen. Lesen Sie bitte nach unter Anhang A: ICMP-Verkehr durch eine Firewall zulassen fr weitere Informationen, wie man ICMP-Verkehr durch die Firewall unter Windows 7 zulsst.

g. Beenden Sie die Datenerfassung, indem Sie auf das Symbol Stop Capture klicken.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 12 von 20

Step 3: Die erfassten Daten prfen

In Schritt 3 prfen Sie die Daten, die durch die Ping-Anfragen vom PC Ihres Teamkollegen generiert wurden. Wireshark-Daten werden in drei Abschnitten angezeigt: 1) Der obere Abschnitt zeigt die Liste der erfassten PDU-Rahmen mit einer Zusammenfassung der aufgefhrten IP-Paketinformationen, 2) der mittlere Abschnitt listet PDU-Informationen fr den Rahmen auf, der im oberen Teil des Bildschirms ausgewhlt ist und separiert einen erfassten PDU-Rahmen nach dessen Protokollschichten und 3) der untere Abschnitt zeigt die Rohdaten fr jede Schicht. Die Rohdaten werden sowohl hexadezimal als auch dezimal angezeigt.

a. Klicken Sie auf die ersten ICMP-Request-PDU-Rahmen im oberen Bereich von Wireshark. Beachten Sie, dass die Source-Spalte die IP-Adresse Ihres PCs enthlt und die Destination-Spalte die IP-Adresse des von Ihnen gepingten PCs Ihres Teamkollegen enthlt.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 13 von 20

b. Bei markiertem PDU-Rahmen im oberen Abschnitt navigieren Sie in den mittleren Abschnitt. Klicken Sie auf das Pluszeichen links neben der Ethernet-II-Zeile, um die Ziel- und Quell-MAC-Adressen anzuzeigen.

Stimmt die MAC-Quelladresse mit der Schnittstelle Ihres PCs berein? ______

Stimmt die MAC-Zieladresse in Wireshark mit der MAC-Adresse Ihres Teamkollegen berein?

_____

Wie wird die MAC-Adresse des gepingten PCs von Ihrem PC erhalten?

___________________________________________________________________________________

Hinweis: In dem vorhergehenden Beispiel einer erfassten ICMP-Anfrage sind die ICMP-Daten in einer IPv4-Paket-PDU (IPv4-Header) gekapselt, die wiederum in einer Ethernet II-Rahmen-PDU (Ethernet II-Header) fr die bertragung in dem LAN gekapselt sind.

Part 3: Erfassen und analysieren von Remote-ICMP-Daten in Wireshark

In Teil 3 werden Sie Pings an Remote-Hosts (Hosts auerhalb des LANs) senden und die generierten Daten aus diesen Pings untersuchen. Sie werden dann ermitteln, wie sich diese Daten von den in Teil 2 geprften Daten unterscheiden.

Step 1: Erfassen von Daten auf der Schnittstelle starten

a. Klicken Sie auf das Symbol Interface List, um die Liste der PC-Schnittstellen erneut anzuzeigen.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 14 von 20

b. Stellen Sie sicher, dass das Kontrollkstchen neben der LAN-Schnittstelle aktiviert ist und klicken Sie dann auf Start.

c. Ein Fenster fordert Sie auf, die zuvor erfassten Daten vor dem Beginn einer neuen Datenerfassung zu speichern. Es ist nicht notwendig, diese Daten zu speichern. Klicken Sie auf Continue without Saving.

d. Bei aktivierter Erfassung senden Sie einen Ping an die folgenden drei Website-URLs:

1) www.yahoo.com

2) www.cisco.com

3) www.google.com

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 15 von 20

Hinweis: Wenn Sie die aufgefhrten URLs anpingen, beachten Sie, dass der Domain Name Server (DNS) die URL in eine IP-Adresse bersetzt. Notieren Sie die fr jede URL erhaltene IP-Adresse.

e. Sie knnen das Erfassen von Daten stoppen, indem Sie auf das Symbol Stop Capture klicken.

Step 2: Daten von den Remote-Hosts prfen und analysieren

a. berprfen Sie die erfassten Daten in Wireshark, prfen Sie die IP- und MAC-Adressen der drei Standorte, die Sie gepingt haben. Tragen Sie die IP- und MAC-Zieladressen fr alle drei Standorte in der jeweilige Lcke ein.

1. Standort: IP: _____._____._____._____ MAC: ____:____:____:____:____:____

2. Standort: IP: _____._____._____._____ MAC: ____:____:____:____:____:____

3. Standort: IP: _____._____._____._____ MAC: ____:____:____:____:____:____

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 16 von 20

b. Was ist an dieser Information wichtig?

____________________________________________________________________________________

c. Wie unterscheiden sich diese Informationen von denen, die Sie in Teil 2 erhalten haben?

____________________________________________________________________________________

____________________________________________________________________________________

Reflexion

Warum zeigt Wireshark die tatschliche MAC-Adresse des lokalen Hosts, nicht aber die tatschliche MAC-Adresse fr die Remote-Hosts?

_______________________________________________________________________________________

_______________________________________________________________________________________

Anhang A: ICMP-Verkehr durch eine Firewall zulassen

Falls die Kollegen Ihres Teams Ihren PC nicht anpingen knnen, blockiert die Firewall mglicherweise diese Anfragen. Dieser Anhang beschreibt, wie eine Regel in der Firewall zum Erlauben von Ping-Anfragen generiert wird. Er beschreibt auerdem, wie diese neue ICMP-Regel nach Beendigung dieser bung wieder deaktiviert wird.

Step 1: Neue Eingangsregel generieren, die ICMP-Datenverkehr durch die Firewall zulsst

a. Klicken Sie in der Systemsteuerung auf die Option System and Security.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 17 von 20

b. Klicken Sie im Fenster System and Security auf Windows Firewall.

c. In der linken Hlfte des Fensters Windows Firewall klicken Sie auf Advanced settings.

d. Im Fenster Advanced Security whlen Sie die Option Inbound Rules auf der linken Seitenleiste und klicken Sie dann New Rule auf der rechten Seitenleiste.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 18 von 20

e. Damit wird der Assistent New Inbound Rule gestartet. Im Bildschirm Rule Type klicken Sie auf das Optionsfeld Custom und dann auf Next

f. In der linken Hlfte klicken Sie auf die Option Protocol and Ports und whlen Sie mit dem Protokolltyp-Drop-down-Men ICMPv4 und klicken Sie dann auf Next.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 19 von 20

g. In der linken Hlfte klicken Sie auf die Option Name und geben Sie im Feld Name Allow ICMP Requests ein. Klicken Sie auf Finish.

Diese neue Regel sollte Ihren Teamkollegen ermglichen, Pings von Ihrem PC zu empfangen.

Step 2: Die neue ICMP-Regel deaktivieren oder lschen

Nachdem die bung abgeschlossen ist, mchten Sie die in Schritt 1 erstellte Regel vielleicht deaktivieren oder sogar lschen. Mit der Option Disable Rule knnen Sie die Regel zu einem spteren Zeitpunkt wieder aktivieren. Durch Lschen der Regel wird die Regel dauerhaft aus der Liste Inbound Rules entfernt.

a. Im Fenster Advanced Security klicken Sie in der linken Hlfte auf Inbound Rules und suchen Sie die Regel, die Sie in Schritt 1 generiert haben.

bung - Anzeigen von Netzwerkverkehr mit Wireshark

2013 Cisco und / oder ihre Tochtergesellschaften. Alle Rechte vorbehalten. Dieses Dokument ist eine ffentlich zugngliche Information von Cisco. Seite 20 von 20

b. Zum Deaktivieren der Regel klicken Sie auf die Option Disable Rule. Wenn Sie diese Option whlen, sehen Sie, wie sich diese Option ndert in Enable Rule. Sie knnen zwischen Disable Rule und Enable Rule hin und her schalten; der Status der Regel wird auch in der Enable-Spalte und in der Inbound Rule-Liste angezeigt.

c. Zum dauerhaften Lschen der ICMP-Regel klicken Sie auf Delete. Wenn Sie diese Option whlen, mssen Sie diese Regel erneut generieren, um ICMP-Antworten zuzulassen.