Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w
programie Wireshark.
Cele nauczania
Po zakończeniu tego ćwiczenia będziesz potrafił:
" Wyjaśnić, jak zbudowany jest segment TCP i wyjaśnić znaczenie jego pól.
" Wyjaśnić, jak zbudowany jest pakiet IP i wyjaśnić znaczenie jego pól.
" Wyjaśnić, jak zbudowana jest ramka Ethernet II i wyjaśnić znaczenie jej pól.
" Wyjaśnić, jak zbudowany jest pakiet zapytania i odpowiedzi ARP."
Wprowadzenie
Laboratorium wymaga dwóch plików z przechwyconymi pakietami i analizatora ruchu sieciowego Wireshark.
Pobierz poniższe pliki z serwera Eagle, zainstaluj program Wireshark na swoim komputerze (najpierw
sprawdz
, czy już nie jest zainstalowany).
" eagle1_web_client.pcap (omawiany)
" eagle1_web_server.pcap (tylko odwołanie)
" wireshark.exe
Scenariusz
Ćwiczenie opisuje sekwencję tworzenia i wysyłania datagramów przez sieć pomiędzy klientem www,
PC_Client i serwerem www, eagle1.example.com. Zrozumienie tego procesu, polegającego na
sekwencyjnej wymianie pakietów poprzez sieć, ułatwi studentom logiczne rozwiązywanie problemów z
komunikacją w sieci w przypadku wystąpienia awarii. W celu zapewnienia przejrzystości i zwięzłości,
usunięto dodatkowe, niezwiązane z omawianą komunikacją pakiety, które również pojawiły się w sieci w
trakcie procesu przechwytywania. Jeśli sieć, z której korzystasz, należy do innych osób, przed
uruchomieniem analizatora ruchu sieciowego uzyskaj pozwolenie (najlepiej na piśmie) na analizowanie
ruchu w sieci.
Rysunek 1 przedstawia topologię sieci wykorzystywanej w tym laboratorium.
Rysunek 1. Topologia sieci
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 1 z 9
Kurs CCNA Exploration
Podstawy sieci komputerowych
Konfiguracja i testowanie sieci Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w programie Wireshark.
Używając programów uruchamianych z linii poleceń, wyświetlono konfigurację komputera związaną z
adresacją IP oraz zawartość pamięci podręcznej ARP. Spójrz na Rysunek 2.
C: > ipconfig / all
Konfiguracja IP systemu Windows
Karta Ethernet Połączenie lokalne:
Sufiks DNS konkretnego połączenia. :
Opis . . . . . . . . . . . . . . . . . . : Intel(R)
PRO/1000 MT
Połączenie sieciowe
Adres fizyczny. . . . . . . . . : 00:02:3f:7e:37:da
Dhcp włączone. . . . . . . . . . . : Nie
Adres IP. . . . . . . . . . . . : 10.1.1.1
Maska podsieci . . . . . . . . . . . : 255.255.255.0
Brama domyślna . . . . . . . : 10.1.1.254
Serwery DNS . . . . . . . . . . . : 10.1.1.250
C: > arp  a
Nie znaleziono wpisów ARP
C: >
Rysunek 2. Konfiguracja początkowa komputera PC Client
Jak przedstawiono na Rysunku 3, uruchomiona została przeglądarka internetowa i wpisany został
URL eagle1.example.com. Rozpoczyna to proces komunikacji z serwerem www i jest jednocześnie
momentem rozpoczęcia przechwytywania pakietów.
Rysunek 3. Przeglądarka internetowa uruchomiona na PC Client
Zadanie 1: Przygotuj się do wykonania laboratorium
Krok 1: Uruchom na swoim komputerze program Wireshark
Spójrz na Rysunek 4 w celu wykonania zmian w domyślnej konfiguracji programu Wireshark. Odznacz Main
toolbar, Filter toolbar, i Packet Bytes. Upewnij się, że Packet List i Packet Details są
zaznaczone. Aby wyłączyć automatyczne tłumaczenie w adresach MAC odznacz Name Resolution.
MACMAC layer i Transport Layer w menu
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 2 z 9
Kurs CCNA Exploration
Podstawy sieci komputerowych
Konfiguracja i testowanie sieci Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w programie Wireshark.
Rysunek 4. Zmiany w domyślnym sposobie wyświetlania w programie Wireshark
Krok 2: Załaduj plik eagle1_web_client.pcap zawierający dane przechwycone w trakcie komunikacji
przeglądarki internetowej
Zostanie wyświetlone okno podobne do przedstawionego na Rysunku 5. Program pozwala na dostęp do
różnych rozwijalnych menu i podmenu. Okno programu zawiera dwa oddzielne panele. W górnym panelu
znajduje się lista wszystkich przechwyconych pakietów. Dolny panel zawiera szczegółowe dane dotyczące
pakietów. Każda linia w dolnym panelu zawiera znak plusa ż� informujący o istnieniu dodatkowych
informacji.
Rysunek 5. Wireshark z załadowanym plikiem eagle1_web_client.pcap
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 3 z 9
Kurs CCNA Exploration
Podstawy sieci komputerowych
Konfiguracja i testowanie sieci Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w programie Wireshark.
Zadanie 2: Prześledz
proces przepływu danych przez sieć
Krok 1: Prześledz
sposób działania warstwy transportowej
Kiedy PC_Client tworzy datagram w celu przesłania go do eagle1.example.com, przesyłany on jest w dół
przez wszystkie warstwy. Każda warstwa dodaje nagłówek zawierający istotne dla niej informacje.
Ponieważ dane, które analizujemy, pochodzą od przeglądarki internetowej, protokołem transportowym jest
TCP. Przyjrzyj się segmentowi TCP pokazanemu na Rysunku 6. PC_Client generuje z
ródłowy numer portu
TCP, w tym przypadku 1085, oraz używa dobrze znanego numer portu 80, którym posługują się serwery
www. Automatycznie tworzy również numer sekwencyjny. Dane, które mają być umieszczone w segmencie
TCP, zostały otrzymane z warstwy aplikacji. PC_Client nie zna jeszcze wszystkich informacji potrzebnych
do wysłania pakietu, więc muszą one zostać uzyskane przy użyciu innych protokołów sieciowych.
Brakuje numeru potwierdzenia. Zanim omawiany segment może zostać przekazany do warstwy sieci, TCP
musi wykonać proces uzgadniania trójfazowego.
Rysunek 6. Pola segmentu TCP
Krok 2: Prześledz
sposób działania warstwy sieci
Kilka pól w PAKIECIE IPv4 (IP), tworzonym na poziomie warstwy sieci, może być od razu uzupełnione
właściwymi informacjami. Zostało to pokazane na Rysunku 7. Na przykład znana jest wersja (IPv4) pakietu
jak i adres z
ródłowy IP.
Pakiet ma zostać dostarczony do urządzenia o nazwie eagle1.example.com. Adres IP odpowiadający tej
nazwie musi zostać poznany przy użyciu usługi DNS (System Usług Domenowych). Pola związane z
protokołem warstwy wyższej pozostają nieuzupełnione do momentu otrzymania datagramu z tej warstwy.
Rysunek 7. Pola pakietu IP
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 4 z 9
Kurs CCNA Exploration
Podstawy sieci komputerowych
Konfiguracja i testowanie sieci Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w programie Wireshark.
Krok 3: Prześledz
sposób działania warstwy łącza danych
Zanim datagram zostanie umieszczony w nośniku fizycznym, musi być enkapsulowany w ramkę. Zostało to
pokazane na Rysunku 8. PC_Client zna z
ródłowy (swój) adres MAC, natomiast adres docelowy MAC musi
zostać przez niego poznany.
Adres docelowy MAC musi zostać znaleziony.
Rysunek 8. Pola ramki Ethernet II
Zadanie 3: Przeanalizuj przechwycone pakiety
Krok 1: Prześledz
sekwencję przepływu informacji
W celu prześledzenia sekwencji wymienianych pakietów pomocne będzie podsumowanie brakujących
informacji:
a. Nie można utworzyć segmentu TCP, ponieważ brak jest informacji potrzebnych do uzupełnienia
pola z numerem potwierdzenia. Wymagane jest uprzednie zakończenie uzgadniania trójetapowego
wykonywanego w protokole TCP.
b. Uzgadnianie trójetapowe wykonywane w protokole TCP nie może zostać zrealizowane dopóki
PC_Client nie będzie znał adresu IP serwera eagle1.example.com. Aby uzyskać taką informację,
PC_Client musi wysłać zapytanie DNS do serwera DNS.
c. Nie można odpytać serwera DNS, ponieważ nie jest znany jego adres MAC. Aby poznać adres
MAC serwera DNS należy w sieci lokalnej rozgłosić Zapytanie ARP.
d. Adres MAC serwera eagle1.example.com jest nieznany. Aby poznać adres MAC serwera
eagle1.example.com należy w sieci lokalnej rozgłosić zapytanie ARP.
Krok 2: Przeanalizuj zawartość pakietu zapytania ARP
Przyjrzyj się pakietowi nr 1w panelu zawierającym listę pakietów w programie Wireshark. Przechwycony
pakiet to zapytanie ARP (Address Resolution Protocol). Klikając w znak plusa znajdujący się w drugiej linii w
oknie zawierającym szczegółowe informacje na temat pakietu można zobaczyć zawartość ramki Ethernet II.
Klikając w linię ARP request można zobaczyć zawartość pakietu zapytania ARP.
1. Jaki jest z
ródłowy adres MAC w pakiecie zapytania ARP? _____________________
2. Jaki jest docelowy adres MAC w pakiecie odpowiedzi ARP? _____________________
3. Jaką wartość ma nieznany adres IP w pakiecie zapytania ARP? ______________________
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 5 z 9
Kurs CCNA Exploration
Podstawy sieci komputerowych
Konfiguracja i testowanie sieci Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w programie Wireshark.
4. Jaką wartość ma pole Typ w ramce Ethernet II? _____________________
Krok 3: Przeanalizuj zawartość pakietu odpowiedzi ARP
Przyjrzyj się pakietowi nr 2 w panelu zawierającym listę pakietów w programie Wireshark. Serwer DNS
odsyła odpowiedz
ARP.
1. Jaki jest z
ródłowy adres MAC w pakiecie odpowiedzi ARP? _____________________
2. Jaki jest docelowy adres MAC w pakiecie odpowiedzi ARP? _____________________
3. Jaką wartość ma pole Typ w ramce Ethernet II? _____________________
4. Jaką wartość ma docelowy adres IP w pakiecie odpowiedzi ARP? _____________________
5. Bazując na zaobserwowanym działaniu protokołu ARP, jakie można wyciągnąć wnioski dotyczące
adresów docelowych w pakietach zapytania i odpowiedzi ARP?
_____________________________________________________________________
_____________________________________________________________________
_____________________________________________________________________
6. Dlaczego serwer DNS nie musi wysyłać pakietu zapytania ARP aby uzyskać adres MAC komputera
PC_Client? _____________________________________________________________
_____________________________________________________________________
Krok 4: Przeanalizuj zawartość pakietu zapytania DNS
Przyjrzyj się pakietowi nr 3 w panelu zawierającym listę pakietów w programie Wireshark. PC_Client wysyła
zapytanie DNS do serwera DNS. Korzystając z panelu zawierającego szczegółowe informacje na temat
pakietu udziel odpowiedzi na następujące pytania:
1. Jaką wartość ma pole Typ w ramce Ethernet II? _____________________
2. Jaki protokół warstwy transportowej jest używany oraz jaki jest numer portu docelowego?
_____________________
Krok 5: Przeanalizuj zawartość pakietu odpowiedzi DNS
Przyjrzyj się pakietowi nr 4 w panelu zawierającym listę pakietów w programie Wireshark. Serwer DNS
odsyła pakiet odpowiedzi DNS do komputera PC_Client. Korzystając z panelu zawierającego szczegółowe
informacje na temat pakietu udziel odpowiedzi na następujące pytania:
1. Jaką wartość ma pole Typ w ramce Ethernet II? _____________________
2. Jaki protokół warstwy transportowej jest używany oraz jaki jest numer portu docelowego?
_____________________
3. Jaki adres IP ma serwer eagle1.example.com? _____________________
4. Kolega, administrator firewalla, spytał czy są jakiekolwiek powody, dla których nie można byłoby
zabronić wszystkim pakietom UDP wchodzić do sieci wewnętrznej. Jakiej odpowiedzi można mu
udzielić? _____________________
_____________________________________________________________________
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 6 z 9
Kurs CCNA Exploration
Podstawy sieci komputerowych
Konfiguracja i testowanie sieci Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w programie Wireshark.
_____________________________________________________________________
_____________________________________________________________________
Krok 6: Przeanalizuj zawartość pakietu zapytania ARP
Przyjrzyj się pakietom nr 5 i 6 w panelu zawierającym listę pakietów w programie Wireshark. PC_Client
wysyła zapytanie ARP do urządzenia o adresie IP 10.1.1.254.
1. Czy jest to adres IP serwera eagle1.example.com? Wyjaśnij dlaczego?
____________________________________________________________________
____________________________________________________________________
Krok 7: Przeanalizuj proces uzgadniania trójetapowego w protokole TCP
Przyjrzyj się pakietom nr 7, 8 i w panelu zawierającym listę pakietów w programie Wireshark. Przechwycone
pakiety zawierają informacje wysyłane w trakcie realizacji uzgadniania trójetapowego pomiędzy
komputerem PC_Client i serwerem eagle1.example.com. Początkowo, w datagramie wysyłanym z
PC_Client ustawiona jest tylko flaga SYN, a numer sekwencyjny ma wartość 0. eagle1.example.com
odpowiada pakietem z ustawionymi flagami ACK i SYN, a numery potwierdzenia i sekwencyjne mają
wartości odpowiednio 1 i 0. W panelu zawierającym szczegółową informację dotyczącą pakietu zawarta jest
również nieomawiana do tej pory wartość - MSS=1460. Skrót MSS rozwijamy jako Maximum Segment
Size. Jeśli segment TCP ma być przesłany przez sieć działającą w oparciu o protokół IPv4, to MSS
przyjmuje wartość równą maksymalny rozmiar datagramu IPv4 minus 40. Wartość ta jest przesyłana w
trakcie fazy nawiązywania połączenia. Jest to również moment negocjacji okna przesuwnego TCP.
1. Jeśli wartość początkowa numeru sekwencyjnego TCP wysłanego przez PC_Client wynosi 0, to
dlaczego eagle1.example ustawia wartość numeru potwierdzenia na 1?
____________________________________________________________________
____________________________________________________________________
2. Co oznacza wartość 0x04 pola Flags w pakiecie nr 8 wysłanym przez serwer eagle1.example.com?
____________________________________________________________________
3. W pakiecie nr 9 PC_Client wysyła segment TCP kończący fazę uzgadniania trójetapowego. Jaki
jest stan flag w tym segmencie?
____________________________________________________________________
Zadanie 4: Uzupełnij rozważania końcowe
Krok 1: Dopasuj dane wyświetlone w programie Wireshark do odpowiednich procesów
Uzyskanie informacji wystarczających do wysłania żądania przez przeglądarkę internetową wymagało
przesłania dziewięciu datagramów pomiędzy PC_Client, serwerem DNS, bramą domyślną i serwerem
eagle1.example.com. To żądanie (HTTP GET) wysłane przez PC_Client zostało pokazane w pakiecie nr 10.
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 7 z 9
Kurs CCNA Exploration
Podstawy sieci komputerowych
Konfiguracja i testowanie sieci Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w programie Wireshark.
1. Wpisz właściwe numery pakietów z panelu listy pakietów w programie Wireshark spełniające
wymogi następujących opisów:
a. Nie można zbudować segmentu TCP, ponieważ brak jest wartości, którą można wpisać w pole
potwierdzenia. Najpierw należy wykonać proces uzgadniania trójetapowego z serwerem
eagle1.example.com. ________
b. Proces uzgadniania trójetapowego nie może zostać przeprowadzony, ponieważ PC_Client nie
zna adresu IP serwera eagle1.example.com. Problem jest rozwiązany poprzez wysłanie przez
PC_Client Zapytania DNS do serwera DNS. ________
c. Nie można wysłać Zapytania DNS do serwera DNS, ponieważ nie jest znany adres MAC
serwera DNS. Aby uzyskać adres MAC serwera DNS rozgłaszane jest w sieci lokalnej
Zapytanie ARP. ________
d. Nieznany jest adres MAC bramy mogącej przesłać dane do serwera eagle1.example.com. Aby
poznać adres MAC bramy rozgłaszane jest w sieci lokalnej Zapytanie ARP. ________
2. Pakiet numer 11 zawiera potwierdzenie, wysłane przez eagle1.example.com, otrzymania żądania
HTTP GET wysłanego przez PC_Client. Żądanie jest zawarte w pakiecie numer 10.
3. Pakiety o numerach 12, 13 i 15 to segmenty TCP wysłane przez eagle1.example.com. Pakiety o
numerach 14 i 16 zostały wysłane przez PC_Client i są segmentami zawierającymi potwierdzenia.
4. Aby sprawdzić, które segmenty są potwierdzane przez segmenty zawierające potwierdzenia, z
panelu zawierającego listę pakietów w programie Wireshark wybierz pakiet numer 14. Następnie
przewiń w dół zawartość panelu zawierającego szczegółowe informacje na temat pakietów i znajdz
i
rozwiń sekcję [SEQ/ACK analysis]. Który segment, wysłany przez eagle1.example.com, jest
potwierdzany przez segment numer 14? _______________
5. Pakiet numer 17 został wysłany przez PC_Client do eagle1.example.com. Przyjrzyj się informacjom
zawartym w sekcji [SEQ/ACK analysis]. Jaki jest cel wysłania tego segmentu? ________
6. Kiedy PC_Client zakończył komunikację z serwerem, przesłał do niego (pakiet numer 18) segment
z ustawionymi flagami FIN i ACK. Serwer eagle1.example.com odpowiedział segmentem
potwierdzającym otrzymanie żądania zakończenia połączenia i w ten sposób sesja TCP została
zamknięta.
Krok 2: Użyj funkcji "Follow TCP stream" programu Wireshark
Analiza zawartości pakietów może być zajęciem czasochłonnym, podatnym na błędy i przez to
zniechęcającym. Program Wireshark posiada opcję pozwalającą na pokazanie całego strumienia TCP w
oddzielnym oknie. Aby skorzystać z tej funkcji należy najpierw zaznaczyć segment TCP w panelu
zawierającym listę przechwyconych pakietów. Następnie, przy użyciu menu Analyze, należy wybrać opcję
Follow TCP Stream. Zostanie wyświetlone okno podobne do przedstawionego na Rysunku 9.
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 8 z 9
Kurs CCNA Exploration
Podstawy sieci komputerowych
Konfiguracja i testowanie sieci Laboratorium 11.5.6: Końcowe studium przypadku - Analiza datagramu w programie Wireshark.
Rysunek 9. Zawartość strumienia TCP
Zadanie 5: Wnioski
Użycie analizatora ruchu sieciowego może pełnić istotną rolę w procesie dydaktycznym pozwalając na
zrozumienie kluczowych elementów procesu komunikacyjnego. Jeśli administrator zaznajomi się z
protokołami komunikacyjnymi, ten sam analizator ruchu sieciowego może stać się dla niego również
nieocenionym narzędziem wspomagającym rozwiązywanie problemów w trakcie awarii sieci. Jeśli na
przykład przeglądarka internetowa nie może połączyć się z serwerem, to przyczyn tego problemu może być
wiele. Analizator ruchu sieciowego może wtedy pokazać, że problem jest związany z zapytaniami ARP,
zapytaniami DNS lub brakiem potwierdzeń pakietów.
Zadanie 6: Podsumowanie
Ćwiczenie pomogło studentowi zrozumieć sposób, w jaki komunikują się między sobą klient i serwer WWW.
Protokoły wspomagające, takie jak DNS i ARP używane są w celu uzyskania brakujących wartości
potrzebnych do uzupełnienia pakietów IP (DNS) i ramek Ethernet (ARP). Zanim rozpocznie się sesja TCP,
musi zostać przeprowadzona faza uzgadniania trójetapowego pozwalająca na stworzenie niezawodnej
ścieżki pomiędzy komunikującymi się stronami i pozwalająca im na uzyskanie początkowych informacji
wymaganych do zbudowania nagłówka TCP. Na końcu, klient zamyka sesję TCP poprzez wysłanie
komunikatu zawierającego ustawioną flagę FIN.
Cała zawartość niniejszych materiałów jest własnością Cisco Systems, Inc. �1992-2007 Wszelkie prawa zastrzeżone. Ten dokument zawiera publicznie
dostępne informacje firmy Cisco. Strona 9 z 9