Manual ethereal

Instituto de Ingeniería Eléctrica Redes de Datos.

Ethereal
Objetivo.
Este instructivo describe el uso del programa Ethereal para examinar paquetes en una red de datos.

Analizadores de Protocolos de Red.
Para observar y analizar el comportamiento de los protocolos de red es preciso disponer de una herramienta capaz de monitorear el tráfico en la red y mostrarlo en una forma legible. Lasherramientas que capturan y muestran el tráfico existente en una interfaz de red se denominan analizadores de protocolos de red, analizadores de paquetes, "packet sniffers" o simplemente "sniffers" (del inglés sniff, olfatear). Para visualizar el tráfico los analizadores de protocolo colocan la tarjeta de red en modo promiscuo, una modalidad en la cual es capturado todo el tráfico visible para latarjeta de red. En una red Ethernet una interfaz de red en modo promiscuo puede ver todo el tráfico generado por todos los equipos que comparten el mismo conjunto de cables y concentradores (hubs). El modo promiscuo implica riesgos evidentes de seguridad, por lo que su uso suele limitarse al supervisor.

Arquitectura de software para un analizador de protocolo en Linux La arquitectura de softwarepara un protocolo de red en una máquina Linux con tarjeta Ethernet aparece en la figura. El analizador de protocolo corre como una aplicación, comunicándose con un componente del kernel Linux llamado Linux Socket Filter. El kernel de un sistema operativo es la parte central o núcleo del sistema, el socket (significa enchufe) es una forma de comunicación entre procesos propia de los sistemas Unix,un proceso es un

programa en ejecución. La figura muestra dos analizadores de protocolo distintos, tcpdump y ethereal; tcpdump funciona en línea de comando, ethereal es una aplicación gráfica, pero ambos hacen más o menos lo mismo. El Linux Socket Filter actúa como intermediario entre el analizador de protocolo y el controlador de la tarjeta de red Ethernet (Ethernet device driver); coloca latarjeta de red en modo promiscuo y obtiene una copia de todo el tráfico entrante desde la red y todo el tráfico saliente hacia la red. El socket de filtro procesa este tráfico y lo transfiere al analizador de protocolo, que lo presenta al usuario.

Ethereal.
Ethereal es un analizador de protocolos con interfaz gráfica capaz de reconocer muchos protocolos distintos. Permite tanto revisar lospaquetes de datos en una red activa como desde un archivo de captura previamente generado; es capaz de comprender diversos formatos de archivo propios de otros programas de captura, en particular el clásico tcpdump.

Uso de Ethereal.
El programa Ethereal puede hacerse a través del menú de invocación del ambiente gráfico o desde una terminal Unix si no existe la opción en el menú. Si se hace através de una terminal Unix, el comando
ethereal &

arranca el programa y devuelve el control de la terminal al usuario para poder continuar ingresando comandos. El símbolo & arranca el programa como proceso independiente de la terminal. La figura muestra la ventana principal de Ethereal luego de una captura de datos. Inicialmente, esta ventana aparece vacía. En la ventana principal de Ethereal sereconocen tres áreas de despliegue:
•

•

•

resumen de paquetes capturados, un paquete por línea; uno de ellos ha sido seleccionado como paquete actual (dando clic sobre la línea del paquete). Al desplazarse en la lista y cambiar el paquete actual se actualizan las otras dos ventanas, donde se despliega en dos formatos diferentes el contenido del paquete. detalles de encabezado deprotocolos para el paquete seleccionado; los encabezados pueden abrirse (clic en +) para ver mayor detalle, o cerrarse (clic en -) para ocupar sólo una línea. datos crudos del paquete, representación hexadecimal y ASCII del encabezado del paquete seleccionado en el campo del medio.

Ventana principal de Ethereal luego de una captura. Para iniciar la captura de datos, elegir las opciones de menú...