PDF de programación - Ethereal

Instituto de Ingeniería Eléctrica
Redes de Datos.



Ethereal

Objetivo.
Este instructivo describe el uso del programa Ethereal para examinar

paquetes en una red de datos.
Analizadores de Protocolos de Red.
Para observar y analizar el comportamiento de los protocolos de red es

preciso disponer de una herramienta capaz de monitorear el tráfico en la red
y mostrarlo en una forma legible. Las herramientas que capturan y muestran
el tráfico existente en una interfaz de red se denominan analizadores de
protocolos de red, analizadores de paquetes, "packet sniffers" o simplemente
"sniffers" (del inglés sniff, olfatear). Para visualizar el tráfico los analizadores
de protocolo colocan la tarjeta de red en modo promiscuo, una modalidad en
la cual es capturado todo el tráfico visible para la tarjeta de red. En una red
Ethernet una interfaz de red en modo promiscuo puede ver todo el tráfico
generado por todos los equipos que comparten el mismo conjunto de cables
y concentradores (hubs). El modo promiscuo implica riesgos evidentes de
seguridad, por lo que su uso suele limitarse al supervisor.



Arquitectura de software para un analizador de protocolo en Linux

La arquitectura de software para un protocolo de red en una máquina Linux

con tarjeta Ethernet aparece en la figura. El analizador de protocolo corre
como una aplicación, comunicándose con un componente del kernel Linux
llamado Linux Socket Filter. El kernel de un sistema operativo es la parte
central o núcleo del sistema, el socket (significa enchufe) es una forma de
comunicación entre procesos propia de los sistemas Unix, un proceso es un

programa en ejecución. La figura muestra dos analizadores de protocolo
distintos, tcpdump y ethereal; tcpdump funciona en línea de comando,
ethereal es una aplicación gráfica, pero ambos hacen más o menos lo mismo.
El Linux Socket Filter actúa como intermediario entre el analizador de
protocolo y el controlador de la tarjeta de red Ethernet (Ethernet device
driver); coloca la tarjeta de red en modo promiscuo y obtiene una copia de
todo el tráfico entrante desde la red y todo el tráfico saliente hacia la red. El
socket de filtro procesa este tráfico y lo transfiere al analizador de protocolo,
que lo presenta al usuario.
Ethereal.
Ethereal es un analizador de protocolos con interfaz gráfica capaz de

reconocer muchos protocolos distintos. Permite tanto revisar los paquetes de
datos en una red activa como desde un archivo de captura previamente
generado; es capaz de comprender diversos formatos de archivo propios de
otros programas de captura, en particular el clásico tcpdump.
Uso de Ethereal.
El programa Ethereal puede hacerse a través del menú de invocación del

ambiente gráfico o desde una terminal Unix si no existe la opción en el menú.
Si se hace a través de una terminal Unix, el comando
ethereal &
arranca el programa y devuelve el control de la terminal al usuario para poder
continuar ingresando comandos. El símbolo & arranca el programa como
proceso independiente de la terminal. La figura muestra la ventana principal
de Ethereal luego de una captura de datos. Inicialmente, esta ventana
aparece vacía.

En la ventana principal de Ethereal se reconocen tres áreas de despliegue:

•

•

•

resumen de paquetes capturados, un paquete por línea; uno de

ellos ha sido seleccionado como paquete actual (dando clic sobre la
línea del paquete). Al desplazarse en la lista y cambiar el paquete
actual se actualizan las otras dos ventanas, donde se despliega en
dos formatos diferentes el contenido del paquete.

detalles de encabezado de protocolos para el paquete

seleccionado; los encabezados pueden abrirse (clic en +) para ver
mayor detalle, o cerrarse (clic en -) para ocupar sólo una línea.

datos crudos del paquete, representación hexadecimal y ASCII del

encabezado del paquete seleccionado en el campo del medio.

Ventana principal de Ethereal luego de una captura.

Para iniciar la captura de datos, elegir las opciones de menú Capture: Start

(Capturar, Comienzo). En la ventana de opciones de captura (ver figura),
debe fijarse al menos la interfaz sobre la que se quiere realizar la captura.
Los nombres varían según los sistemas operativos; la interfaz lo (loopback)
permite enviar y recibir paquetes en la propia máquina.

Para capturar en un archivo debe indicarse su nombre en el cuadro

"Capture file(s)" de la ventana de Opciones de Captura (Capture: Start abre
esta ventana). Estos archivos pueden ser examinados luego con el propio
Ethereal mediante la opción de menú File: Open. El tráfico ya capturado
puede grabarse en un archivo eligiendo File: Print (Archivo: Imprimir); esta
opción graba en formato legible (texto).

La ventana de estado muestra en tiempo real la cantidad de paquetes

capturados, en total y de algunos tipos corrientes. La situación de captura se
mantiene hasta que se presiona el botón Stop. Luego de unos instantes
aparecen los paquetes capturados, tal cual se ve en la imagen de la ventana
principal. Si se activó la opción de actualizar lista de paquetes en tiempo real
("Update list of packets in real time") estos se visualizan a medida que son
capturados.

Opciones de captura.

Estado de captura.

Ejercicio: captura, reconocimiento, grabar como texto, grabar en formato

Ethereal, visualizar.



Iniciar una captura (Capture: Start), elegir la interfaz lo. Arrancar la

captura presionando el botón OK.

En ventana aparte, en una terminal de comandos, escribir

ping -c3 localhost.
Aguardar a que termine de ejecutarse el comando.

1.

2.

3.
4.

Terminar la captura (Stop en la ventana de captura de Ethereal).
Examinar la captura. Reconocer los paquetes pedido - respuesta

(request - reply) del protocolo ICMP (Internet Control Message
Protocol) .

5. Grabar la captura, como texto, en un archivo: File: Print, tic en

File, indicar un nombre de archivo (por ejemplo captura1.txt).

Visualizar el archivo; verificar que es legible.

6.
7. Grabar la captura en el formato propio de Ethereal: File: Save
as...; indicar un nombre de archivo (por ejemplo captura1.ether).

Este archivo no es legible como texto, debe ser visualizado con
Ethereal o con tcpdump.

Visualizar el archivo de captura en formato Ethereal: File, Open,

elegir el archivo. Verificar que se visualiza correctamente.

8.

Si se desea examinar los paquetes a medida que van siendo capturados,
activar en la ventana de Opciones de Captura "Update list of packets in real
time" y "Automatic scrolling in live capture".
Ayuda, documentación.
La ventana de ayuda da una reseña del programa (Overview), lista los
protocolos reconocidos, lista los nombres de los filtros posibles (Display
filters) y refiere a la página man de tcpdump para la sintaxis de filtros de
captura (Capture filters); la sintaxis de filtrado en la captura es diferente de la
sintaxis de filtrado en el despliegue.



Ethereal - Ayuda

Opciones de invocación.
En Unix, la página man de ethereal contiene sobre las opciones de

invocación del programa cuando se lo arranca de la línea de comando.
Algunas de las más usadas son:
-h
muestra versión y opciones
-f <expresión>

expresión filtro de captura (sintaxis de tcpdump)
-i <interfaz>
nombre de interfaz de escucha, tal como es mostrada en la salida de los
comandos Unix ifconfig -a o netstat -i.
-n
deshabilita resolución de nombres (tales como nombres de máquinas y
nombres de puertos TCP y UDP). Esta opción es útil para evitar ver el
intercambio de paquetes originados en las consultas al servidor DNS para
resolver nombres de máquinas.
-r <archivo>
lee los paquetes del archivo indicado en lugar de realizar una captura. El
archivo debe haber sido generado con Ethereal, tcpdump o algún otro
analizador que use el mismo formato.
-w <archivo>
fija el nombre del archivo de captura.
Filtrado de paquetes.
El filtrado de paquetes permite capturar o desplegar sólo aquellos paquetes

de interés para el estudio en curso, desconociendo la existencia de otros.
Ethereal tiene dos modos de filtro distintos:

•

•

filtro de captura: sólo se retienen los paquetes que cumplen la

expresión filtro. Define lo que se guarda.

filtro de despliegue: de los paquetes capturados, sólo se muestran
los paquetes que cumplen la expresión filtro. Define lo que se ve de
lo que hay guardado.

La sintaxis de escritura de ambos tipos de filtro es diferente. Los filtros de
captura siguen la sintaxis del comando tcpdump y deben ser escritos en el
cuadro Filter de la ventana de opciones de captura, antes de iniciar la
captura. Los filtros de despliegue se fijan en el cuadro File de la ventana
principal de Ethereal. En ambos casos, presionando este botón File aparece
un cuadro de diálogo que permite asignar un nombre a la expresión filtro
construída.

Diálogo para construír filtro de captura.

Diálogo para construír filtro de despliegue.

Para los filtros de despliegue existe una ayuda adicional en el botón Add

Expression, que permite construír la expresión eligiendo el protocolo, sus
campos y operadores relacionales.



Agregar expresión para filtro de despliegue

Filtro de captura.

Un filtrado de paquetes por tipo puede lograrse en forma muy simple

escribiendo el tipo en el cuadro Filter de la ventana principal: tcp, icmp, udp,
etc. Para construcción de expresiones de filtro de captura se dispone de
palabras claves (src, dst, host, net, len, ...), operadores lógicos (and, or, not) y
paréntesis. Los paquetes capturados deberán cumplir con la expresión
booleana construída. La página man de tcpdump muestra todas las opciones.
La tabla siguiente muestra un conjunto de ejemplos comunes.

dst host
192.167.1.1
src host
192.167.1.2
host 127.0.0.1

IP de destino (dst)
IP de origen (src)
IP de origen y de destino

dst net
10.137.101.0/24

IPs de máquinas en la red destino
IPs de má