Departamento de Electrnica Redes de Datos

PRCTICA 21:
Inspeccin del trfico de red con Wireshark.

Reflexin:
Todo hombre es sincero a solas; en cuanto aparece una segunda persona empieza la hipocresa.

MATERIAL NECESARIO

1 PC.
1 Router inalmbrico ADSL.
Cable de red.
Tarjeta de red cableada tipo Ethernet.
Sistema Operativo: Windows 7.
Microsoft Office Professional Word 2003 superior.
Programa de escaneo de protocolos TCP/IP: Wireshark.

TAREAS
1. Crea un documento con el nombre Practica 21. Nombre y Apellidos del Alumno.doc.
NOTA: Recuerda que debes obtener fotos de los resultados obtenidos en cada ejercicio.

2. Instala la herramienta Wireshark en el ordenador y a continuacin, aparece la ventana principal.

3. Comenta sus caractersticas, ventajas e inconvenientes.

Pgina 1 de 6
4. Configura el programa sniffer Wireshark en el men Capture para empezar a capturar el trfico de la red. A
continuacin, selecciona la tarjeta de red (eth0) por medio de la cul monitorearemos el trfico de la red en
Interface, como se muestra en la siguiente figura, y enseguida seleccionar la casilla capturar paquetes en
modo promiscuo (de manera que slo se capturar el trfico Ethernet con origen o destino a esta mquina,
adems del trfico difusivo).

5. Captura los datos que aparecen en la pantalla durante el inicio de un ordenador. En la figura 3 se puede ver que
las primeras dos tramas capturadas, enviadas en broadcast no corresponden al computador haciendo la captura.
En las tramas 3 a 6 se puede ver la negociacin de la configuracin IP con el protocolo DHCP realizada por el
computador. En las tramas 7, 8 y 10 se puede ver la verificacin de que la direccin IP obtenida no est
duplicada y el anuncio de la nueva direccin (172.21.134.61) realizada por el cliente DHCP.

Figura 3: Captura de datos durante el inicio de un ordenador.

Pgina 2 de 6
6. Desde la consola de comandos de MS-DOS, ejecuta la orden ipconfig /all para ver la configuracin del protocolo
TCP/IP de su ordenador y toma nota de la configuracin. sto lo usar ms adelante.
a) Nombre del adaptador de red (ejemplo: Conexin de rea local).
b) Direccin IP.
c) Mscara de subred.
d) Puerta de enlace.
e) Servidor DNS primario.
f) Servidor DNS secundario.

7. Define brevemente el protocolo ARP. Desde la consola de comandos de MS-DOS, ejecuta el comando arp a y
captura una trama ARP. Compara la trama capturada con las figura 1 y 3.

8. Define brevemente el protocolo ICMP. Ejecuta el comando ping y captura las tramas tanto de peticin de eco
como de respuesta de eco.
a) Ping a una mquina interna:

1) Desde una ventana de MS-DOS, observa el estado de la tabla ARP de su PC. Para ello, ejecuta la orden
arp -a. En caso de no estar vaca, borra todas las entradas presentes ejecutando la orden arp -d. Tras
hacerlo, comprueba que efectivamente ahora la tabla est vaca mediante arp -a.
2) Arranca una captura en el analizador (botn OK de la ventana de opciones de captura) y, luego, escriba
en el filtro ip.addr == IP_PC para slo ver los paquetes de ese ordenador. Se abrir una nueva ventana
de captura que muestra algunas estadsticas.
3) Ejecuta la orden ping a la direccin IP (no al nombre) de la mquina elegida y espera las cuatro
respuestas.
4) Para la captura (botn Stop de la ventana de captura).
5) Observa qu entradas han aparecido en su tabla de ARP. Cunto tiempo tardan en borrarse
aproximadamente? (Para averiguarlo, teclee cada pocos segundos la orden arp -a hasta que la(s)
entrada(s) relacionada(s) con el ping hayan desaparecido).
6) Vaya a la ventana principal del analizador. De las tramas capturadas debe distinguir aqullas que se han
visto implicadas en todo el proceso (desde la ejecucin de la orden ping en el PC hasta la recepcin de
las respuestas de la otra mquina; no sern nicamente paquetes ICMP).
7) Dibuja en un diagrama las tramas que han intervenido, por su orden, junto con informacin sobre el
protocolo al que pertenecen y su propsito. Puede identificar qu informacin ha decidido introducir su
mquina en el campo de datos de las peticiones de eco?

b) Ping a una mquina externa:

1) Abra una ventana de opciones de captura en el analizador, arranque una captura de trfico y, luego,
escriba en el filtro ip.addr == IP_PC para slo ver los paquetes de ese ordenador.
2) Elija el nombre (no la direccin IP) de una mquina externa a su subred y realiza un ping para asegurarse
de que contesta al mismo (por ejemplo, puede intentarlo con www.upm.es, o con cualquier otra).
3) Asegrese de vaciar a continuacin la cach de DNS de la mquina, mediante la orden ipconfig
/flushdns.
4) Asegrese tambin de que la tabla ARP de su PC est vaca, de la manera descrita anteriormente.
5) Arranca la captura.
6) Ejecuta la orden ping en su mquina utilizando el nombre (no la direccin IP) de la mquina elegida, y
espera las cuatro respuestas.
7) Para la captura.
8) Qu entradas han aparecido en este caso en la tabla ARP?
9) Vaya a la ventana principal del analizador y localiza las diferencias entre los procedimientos seguidos en
el caso anterior y ste. A qu se deben?

Pgina 3 de 6
 c) Traceroute:

1) Abra una ventana de opciones de captura en el analizador.

2) Arranca una captura de trfico y, luego, escriba en el filtro ip.addr == IP_PC para slo ver los
paquetes de ese ordenador.
3) En una ventana de Smbolo del sistema ejecuta la aplicacin traceroute (la orden es tracert [IP o
nombre] utilizando el nombre www.upm.es). Espera hasta su conclusin.
4) Para la captura.
5) Vaya a la ventana principal del analizador y observa qu paquetes ICMP (no tenga en cuenta el resto de
protocolos) se han generado como consecuencia de la ejecucin del traceroute: entre qu mquinas, y de
qu tipo.

9. Define brevemente el protocolo TCP. Captura un paquete TCP y localiza en el mismo tanto el puerto de entrada
como de destino.
a) www.yahoo.com

1) Abra una ventana de opciones de captura en el analizador.

2) Arranca una captura de trfico.
3) Abra un navegador web y acceda a la pgina web www.yahoo.com.
4) Para la captura.
5) Vaya a la ventana principal del analizador y observa los paquetes TCP.
6) En la figura 4 se puede ver la captura correspondiente a la apertura de la pgina web de www.yahoo.com.
Las tramas 2 y 4 son la consulta y respuesta DNS, las tramas 5 a 7 son la apertura de la conexin TCP
de tres vas y la trama 8 y siguientes (en verde) corresponden a la descarga de la pgina web utilizando
el protocolo HTTP y las respuestas ACK de TCP.

Figura 4: Captura de la consulta DNS y de la negociacin de TCP con el servidor de Yahoo.

b) http://ftp.uma.es/

1) Abra una ventana de opciones de captura en el analizador.

2) Arranca una captura de trfico.
3) Abra un navegador web y acceda a la pgina web http://ftp.uma.es/.
4) Para la captura.
5) Vaya a la ventana principal del analizador y observa los paquetes TCP.

Pgina 4 de 6
c) https://es-es.facebook.com/

1) Abra una ventana de opciones de captura en el analizador.

2) Arranca una captura de trfico.
3) Abra un navegador web y acceda a la pgina web https://es-es.facebook.com/.
4) Ingresa a tu cuenta de usuario.
5) Selecciona una de las tramas de la conversacin a inspeccionar, haga clic derecho para presentar el
men de contexto y seleccione la opcin Follow TCP Stream. Nota como en la ventana de captura
aparece un filtro y solamente se muestran las tramas de la conversacin TCP seleccionada.

Figura 5: Anlisis de una conversacin TCP.

6) En la ventana de anlisis de captura podr ver en rojo los datos enviados por el cliente y en azul los
datos recibidos desde el servidor. Busca el nombre de usuario usado para iniciar la sesin en Facebook y
al lado podr ver la clave usada, en este caso: mipalabrasecreta.

Figura 6: Bsqueda de informacin en los datos capturados con Wireshark.

7) Para la captura.
8) Vaya a la ventana principal del analizador y observa los paquetes TCP.

Pgina 5 de 6
 d) Descarga de un archivo relativamente voluminoso con un navegador Web para observar la velocidad de
descarga en funcin del tiempo.

1) Borra el filtro de visualizacin que defini en el apartado anterior.

2) Abra una ventana de opciones de captura en el analizador.
3) Arranca una captura de trfico y, luego, escriba en el filtro ip.addr == IP_PC para slo ver los
paquetes de ese ordenador.
4) En este caso se va a definir un filtro de captura (casilla sealada por Capture Filter: en la ventana de
opciones de captura). Un filtro de captura, a diferencia de uno de visualizacin, impide que se capture el
trfico que no coincida con el criterio seleccionado. De esta manera, posteriormente slo se podr
analizar el trfico que este filtro haya permitido capturar. En este caso, estamos interesados en
capturar todo el trfico TCP que tenga origen o destino (a nivel IP) en nuestra mquina. Para ello, en la
casilla destinada al filtro de captura, teclee lo siguiente: ip proto \tcp and ip host IP_PC
5) Abra un navegador Web y desactiva la utilizacin de un servidor Proxy si es necesario. En el caso del
navegador Internet Explorer de Microsoft, se hace mediante Herramientas Opciones de Internet
Conexiones Configuracin de LAN..., desactivando la casilla Utilizar un servidor Proxy para su LAN ,
aceptando el cambio.
6) Arranca una captura.
7) Descarga con el navegador Web un archivo de algunos cientos de kilobytes para provocar el
establecimiento de una conexin TCP de varios segundos de duracin. Como sugerencias, puede probar
con:
o http://www.ietf.org/iesg/1rfc_index.txt
o http://sunsite.utk.edu/ftp/usr-218-2/iesg/1rfc_index.txt
8) Cuando se haya terminado de descargar el archivo, para la captura (Stop).
9) Localiza entre los paquetes mostrados por pantalla uno que pertenezca a la conexin TCP por la que se
ha transferido el archivo y que haya viajado desde el servidor a su ordenador.
10) Si ha descargado un archivo de texto, uno de estos paquetes es fcilmente identificable observando
cmo en los datos HTTP del paquete se puede leer parte del contenido del archivo (seccin inferior de
la ventana del analizador, parte derecha). Selecciona este paquete y posteriormente elija Statistics
TCP Stream Graph Throughput Graph para representar la velocidad a la que ha sido transferido el
archivo en cada intervalo. Observa la grfica que se genera y contesta a las siguientes preguntas. Es
constante la velocidad a la que se ha transferido el archivo? De su conocimiento del funcionamiento del
protocolo TCP, puede explicar por qu lo es / no lo es?

10. Define brevemente el protocolo UDP. Captura un paquete UDP y localiza en el mismo tanto el puerto de entrada
como de destino.

Pgina 6 de 6