Więcej

    Przygotowanie środowiska pracy w Wireshark – kolorowanie ramek

    spot_img

    Podczas inwestygacji problemu sieciowego czasem trzeba zejść do poziomu pojedynczych ramek, czyli troubleshooting’u na poziomie warstwy drugiej modelu sieciowego ISO/OSI. W sieciach WLAN jest to podstawa zaawansowanych poszukiwań przyczyny problemu, bez której czasem po prostu nie można zrobić nic. Wireshark jest jednym z narzędzi umożliwiających przeprowadzenie takiego śledztwa i w najbliższych tygodniach przyjrzymy mu się nieco bliżej w odniesieniu do sieci WLAN.

    Zbieranie ruchu w sieci bezprzewodowej

    O Wireshark każdy sieciowiec powinien słyszeć, a umiejętność jego obsługi jest pozytywną i przydatną cechą. Samo uruchomienie programu i zebranie jakichś danych nie jest niczym trudnym, ale już zrozumienie tego co pojawiło się jako wynik tej operacji to nie jest bułka z masłem.

    Ale zanim w ogóle zaczniemy zbierać ruch to przyjrzyjmy się wymaganiom jakie stawia przed nami świat sieci bezprzewodowych. Zgodnie ze standardem IEEE 802.11 każda stacja bezprzewodowa, która nie transmituje, może nasłuchiwać na wybranym kanale i analizować nagłówki przybywających ramek. Jeśli po sprawdzeniu adresu MAC stacja stwierdzi, że nie jest adresatem danej ramki, to powinna ją natychmiast odrzucić i nie pobierać dalszej zawartości.

    Jak to zatem możliwe, że Wireshark potrafi zebrać ruch pomiędzy innymi stacjami bezprzewodowymi, a nie tylko z tej i do tej maszyny na której jest uruchomiony? Jest to możliwe dzięki trybowi Monitor Mode, w jaki można ustawić niektóre bezprzewodowe karty sieciowe. Tryb ten czasem określany jest też mianem RFMON Mode. Dzięki niemu karta bezprzewodowa będzie w stanie zebrać wszystkie ramki 802.11 jakie tylko usłyszy.

    Poniżej przedstawiam kilka najważniejszych zasad dotyczących zbierania i analizy ruchu w sieci bezprzewodowej:

    • Bezprzewodowa karta sieciowa działająca w trybie standardowym zbierze wyłącznie ruch z i do maszyny, na której włączony jest Wireshark. Dodatkowo będą to tylko pakiety danych i tym samym nie znajdziemy tam ramek typu Management i Control. Aby było jeszcze ciekawiej nie znajdziemy tam informacji na temat radia, takich jak np. kanał, częstotliwość czy siła sygnału, ponieważ sterownik karty sieciowej przetłumaczy nagłówki 802.11 na podrobione nagłówki Ethernetowe.
    • Tryb Monitor Mode daje dużo więcej możliwości. Przede wszystkim bezprzewodowa karta sieciowa zbierze wszelkie ramki jakie usłyszy, nawet wtedy, gdy wiadomość nie jest wysłana z lub do maszyny, na której włączony jest Wireshark. Ponadto wszelkie ramki typu Data, Management i Control mogą być zebrane i będą zawierać oryginalny nagłówek 802.11 z wszelkimi informacjami na temat transmisji radiowej.
    • Istnieje ryzyko, że po przełączeniu karty sieciowej w tryb Monitor Mode stracimy obecne połączenie z siecią bezprzewodową i nawet nie będziemy w stanie nawiązać nowego połączenia do czasu powrotu do trybu standardowego.
    • Tryby w jakich może działać karta sieciowa i ogólnie zbieranie ruchu są mocno uzależnione od platformy sprzętowej na której jest uruchomiony ten proces, użytego modelu karty sieciowej, jej sterowników, bibliotek z których korzysta Wireshark oraz wielu innych czynników.
    • Może się okazać, że dany sprzęt w ogóle nie nadaje się do zaawansowanego zbierania ruchu.
    • Mac OS i różnego rodzaju dystrybucje Linuxa są dobrym wyborem systemu operacyjnego na którym zamierzamy włączyć zbieranie ruchu.
    • Czasem wymagana jest instalacja dedykowanych sterowników karty sieciowej do poprawnego zbierania ruchu. Pamiętaj, że takie sterowniki mogą z kolei mieć problem z podstawowymi funkcjami wymaganymi do pracy w trybie standardowym, jak np. poprawne wspieranie metody WPA2-Enterprise. W takim przypadku pamiętaj żeby po skończonej inwestygacji przywrócić poprzednie sterowniki.
    • Możliwe jest wybranie konkretnych kanałów z których chcemy zebrać ruch. Jeśli sieć bezprzewodowa nad którą pracujemy korzysta na częstotliwości 2.4 GHz tylko z kanałów 1, 6 i 11, to naturalną rzeczą będzie ustawienie zbierania danych tylko z tych kanałów. Skanowanie nieużywanych kanałów można przeprowadzić co jakiś czas w celu poszukiwania wrogich urządzeń.
    • Karta sieciowa w jednym momencie może skanować tylko jeden kanał, więc oczywiście wybierając więcej kanałów skraca się średni czas przeznaczony na każdy z nich, a w konsekwencji tracimy część danych. Dobrym pomysłem może być ustawienie czasu skanowania na nieużywanych kanałach na 100-200 ms oraz co najmniej kilka sekund na kanałach używanych. Tym sposobem łączymy obie funkcjonalności.
    • Musisz posiadać odpowiednią kartę sieciową do zbierania wymaganego ruchu. Jeśli masz kartę działającą tylko na 2.4 GHz to naturalnie nie zbierzesz ruchu z kanałów na 5 GHz, czyli mówiąc wprost nie będzie Ci dane zobaczyć ramki wysyłane w standardach np. 802.11a i 802.11ac. Podobnie mając kartę działającą w standardzie 802.11n nie będziesz w stanie zebrać ruchu 802.11ac. I na koniec – mając kartę 802.11ac 3×3:2 nie będziesz w stanie poznać całej historii ruchu WLAN generowanego przez urządzenia 802.11ac 3×3:3 z powodu mniejszej liczby wspieranych strumieni przestrzennych (ang. spatial streams).
    • Zbieranie ruchu 802.11 może być zabronione w prawie danego państwa lub regionu, a także w przepisach danej firmy czy organizacji. Zatem zawsze upewnij się jakie są obowiązujące przepisy zanim przystąpisz do pracy.

    Jeśli chcesz dogłębnie poznać wszelkie szczegóły techniczne to zachęcam do zapoznania się z Wiki Wireshark dla sieci WLAN.

    Kolorowanie ramek w Wireshark

    Niezwykle przydatną funkcjonalnością jest kolorowanie ramek ukrywające się w Wireshark pod opcją o nazwie Coloring Rules. Najlepiej będzie jak po prostu pokażę Ci stan początkowy i efekt po nałożeniu kolorów. Jako przykład użyję jedną z próbek ruchu dostępnych na stronie Wireshark,
    a dokładniej mówiąc plik „Network_Join_Nokia_Mobile.pcap”.

    Domyślnie Wireshark koloruje wszystkie typy ramek używając jednego koloru. A w zasadzie to nie koloruje bo wszystkie są białe, co może jednak zależeć od wybranej skórki programu. Wygląda to tak:

    Przykładowa próbka ruchu przed kolorowaniem.
    Przykładowa próbka ruchu przed kolorowaniem.

    A taki efekt osiągniemy po włączeniu kolorowania:

    Ta sama próbka ruchu co powyżej - tym razem po zastosowaniu reguł kolorowania.
    Ta sama próbka ruchu co powyżej – tym razem po zastosowaniu reguł kolorowania.

    Czyż nie jest pięknie? Zebrany ruch od razu staje się bardziej przejrzysty i można wyrobić sobie nawyki w rozpoznawaniu komunikacji po kolorach, co pozwoli szybciej i lepiej zrozumieć to, co udało się zebrać podczas nasłuchiwania.

    Mam dla Ciebie niespodziankę – używając linku poniżej możesz pobrać plik konfiguracyjny do kolorowania ramek 802.11, z którego korzystam na co dzień. 

    Poniżej znajduje się krótka instrukcja:

    UWAGA! Wszelkie zmiany wykonujesz na własną odpowiedzialność! Przygotowany plik został przetestowany w programie Wireshark w wersji 2.6.6 w języku angielskim.

    Włącz program Wireshark, idź do View > Coloring Rules:

    Przejście do konfiguracji reguł kolorowania.
    Przejście do konfiguracji reguł kolorowania.

    W oknie Coloring Rules kliknij Import i wybierz pobrany plik konfiguracyjny:

    Okno z regułami kolorowania przed zaimportowaniem pliku konfiguracyjnego.
    Okno z regułami kolorowania przed zaimportowaniem pliku konfiguracyjnego.

    Kliknij OK w celu potwierdzenia zmian:

    Okno z regułami kolorowania po zaimportowaniu pliku konfiguracyjnego.
    Okno z regułami kolorowania po zaimportowaniu pliku konfiguracyjnego.

    Włącz kolorowanie poprzez View > Colorize Packet List lub odpowiadający skrót na pasku narzędzi:

    Włączenie kolorowania ramek.
    Włączenie kolorowania ramek.

    I to tyle! Plik konfiguracyjny podzieliłem na cztery sekcje uwzględniając ramki 802.11 typu Management, Control i Data, a także dodając ramki typu EAP. Plik możesz podejrzeć np. w programie Notepad++.

    Reguły kolorowania tworzy się korzystając z filtrów ramek. W tym przypadku po znalezieniu ramki 802.11 o zadanym podtypie wskazuję kolor tła, jaki ma być przypisany do wszystkich wystąpień takiej ramki. Dla przykładu ramki Beacon można wyfiltrować w następujący sposób:

    wlan.fc.type_subtype == 8

    Pod tym adresem znajdziesz pliki konfiguracyjne przygotowane przez społeczność, które także przydadzą Ci się do kolorowania ramek 802.11 i w wielu innych przypadkach.

    Przygotowanie środowiska pracy to dopiero początek. W dalszej kolejności przyjrzymy się dokładniej informacjom widocznym w poszczególnych ramkach i zagłębimy się w szczegóły inwestygacji problemów w sieci bezprzewodowej. Gorąco zachęcam do włączenia kolorowania ramek w Wireshark i do pobrania przygotowanego przeze mnie pliku konfiguracyjnego lub do utworzenia własnej wersji. Zdecydowanie przyspieszy to i ułatwi dalszą pracę!

    Jak często korzystasz w pracy z Wiresharka?

    🗳 Jak przydatna była ta publikacja?

    Średnia ocena 0 / 5. Ilość głosów: 0

    Brak ocen. Bądź pierwszy!

    Dziękujemy za ocenę! Zapraszamy Cię do obserwowania NSS w mediach społecznościowych!

    Przykro nam, że ta publikacja okazała się być dla Ciebie nieprzydatna!

    Uwaga: Twój głos będzie liczony tylko jeśli udzielisz feedbacku używając formularza poniżej.

    Jak możemy poprawić tę publikację?

    Łukasz Kowalski
    Network Architect, Współtwórca Na Styku Sieci
    guest
    0 - Ilość komentarzy
    Inline Feedbacks
    View all comments

    Przygotowujesz się do certyfikacji CCNA?

    Zapisz się na nasz NSSletter, a co tydzień we wtorek rano otrzymasz porcję sieciowej wiedzy oraz porady dotyczące certyfikacji.

    Uzupełniając powyższe pole wyrażasz zgodę na otrzymywanie od GetGoodNet Damian Michalak z siedzibą we Wrocławiu newslettera zawierającego treści edukacyjne. Zgodę możesz wycofać w każdym czasie.

    NSS na Social Media

    1,611FaniLubię
    72ObserwującyObserwuj
    134ObserwującyObserwuj
    1,220SubskrybującySubskrybuj

    Najnowsze artykuły

    spot_img

    Może Cię też zainteresować...

    0
    Co sądzisz na temat tej publikacji? Zostaw proszę komentarzx
    ()
    x