Mein Netzwerk, die Blackbox!

Transkript

1 1 Mein Netzwerk, die Blackbox! präsentiert von Rolf Leutert

2 2 Instruktor: Rolf Leutert, Dipl. Ing. Leutert NetServices Zürich-Airport, Switzerland Netzwerk Analyse & Troubleshooting Protokoll Schulungen TCP/IP, WLAN, VoIP, IPv6 Wireshark Certified Network Analyst 2010 Wireshark Instructor since 2006 Sniffer certified Instructor since

3 Der Vorher-Nachher Effekt 3 Wir alle kennen diese Vorher-Nachher Vergleiche Nicht immer ist Nachher besser als Vorher! Und manchmal hat man das Gefühl, dass die Fotos vertauscht wurden!

4 Der Vorher-Nachher Effekt 4 Auch bei Netzwerken existiert dieser Effekt: Auch da ist Nachher nicht immer besser als Vorher Vor versus Nach dem Netzausbau dem Software-Upgrade der Anschaffung neuer Hardware der Installation der neuen Anwendung dem Anschliessen von Wireshark ans Netzwerk

5 Der Vorher-Nachher Effekt in Ihrem Netzwerk 5 Vorher! Ohne Wireshark Black Box

6 6

7 Was ist Wireshark? 7 Der weltweit am meisten eingesetzte Netzwerk Protocol Analyzer Open-Source Software, d.h. kostenlos einsetzbar, Business oder Home Decodiert über verschiedene Netzwerk-Protokolle Unterstützt alle gängigen Betriebssysteme: Windows, Unix, Linux, MAC Von in 10 Minuten heruntergeladen und installiert

8 Was kann Wireshark? 8 Zeichnet Datenpakete auf und speichert diese in einem Trace File Analysiert und präsentiert sämtliche Protokoll-Details Bietet ausgeklügelte Capture- und Display-Filtermöglichkeiten Ein TCP Expert-System unterstützt die Datenfluss-Analyse Graphische Darstellungen erleichtern die Analyse zusätzlich Analysieren wichtiger Phasen beim Aufstarten und Verbindungsaufbau: DHCP Dynamisches Konfigurieren des Clients mit IP-Parametern DNS Suche der IP-Adresse nach der Eingabe eines Namens ARP Suche der MAC-Adresse zugehörend zur IP-Adresse TCP Verbindungsaufbau mit dem Web-Server HTTP Zugriff auf eine Webseite

9 Dynamic Host Configuration Protocol (DHCP) 9 Der Client sucht nach einem DHCP Server für die IP-Konfiguration DNS-Server Enterprise Network Client Discover Router und DHCP Relay Discover DHCP-Server Offer Offer Request Request Acknowledge Acknowledge

10 Dynamic Host Configuration Protocol (DHCP) 10 Was alles schief laufen kann: Der Client erhält kein Angebot Mögliche Ursachen: Kein Adress-Range auf dem Server Der DHCP Adress-Range ist voll Keine Helper Adresse im Router Der Client hat falsche Werte Der Client startet nicht Konfiguration auf dem Server Ein anderer Client spielt Server Statische Konfiguration im Client Die Adresse ist bereits vorhanden Der Client verlangt spez. Parameter

11 Dynamic Host Configuration Protocol (DHCP) 11 Der Client sucht nach einem DHCP Server für die IP-Konfiguration

12 Domain Name System (DNS) Protocol 12 Der Client sucht die IP-Adresse zu einem Namen (z.b. Was alles schief laufen kann: Client erhält keine IP-Adresse Mögliche Ursachen: Der Server antwortet nicht Falscher DNS Eintrag auf Client Der Server hat keinen Eintrag Der Client hat statische Einträge

13 Address Resolution Protocol (ARP) 13 Der Client sucht die Hardware-Adresse (MAC) zu einer IP-Adresse Network /24 Server Client MAC 00:0D:60:B0:38:63 IP IP Client sendet ARP Request mit Target IP Address ARP Requests sind Broadcasts und erreichen alle Stationen im Subnetz

14 Address Resolution Protocol (ARP) 14 Der Client sucht die Hardware-Adresse (MAC) zu einer IP-Adresse Was alles schief laufen kann: Client erhält keine Antwort Mögliche Ursachen: Der Ziel Host ist nicht eingeschaltet Client hat falsche Subnetz Maske Client hat keinen Default Gateway Client hat statische Einträge

15 Transmission Control Protocol (TCP) 15 Die drei Phasen der gesicherten TCP Datenübertragung: Client Application SYN Application Server Data + IP Zielhost SYN; Ack Ack Data TCP Data Ack TCP Verbindungsaufbau: Three-Way Handshake Datenübertragung: Data; Acknowledges Verbindungsabbau: Four-way Handshake Data Data; Ack Data; Ack Ack FIN Ack FIN Ack

16 Wo platziere ich Wireshark? 16 Router Firewall Local Switch TCPDump Remote Network Network Switch Switch Switch mit Span/Mirrorport Wireshark auf Client Wireshark auf Server TCPDump auf Firewall

17 Wo platziere ich Wireshark? 17 Auf speziellen Endgeräten wie VoIP Phones, Access Points usw. lässt sich Wireshark nicht installieren Einige Span/Mirrorports können zudem Startup Protokolle wie CDP oder LLDP nicht kopieren. Abhilfe: Einfügen eines speziellen Monitoring Switches mit Power Over Ethernet (PoE) pass-through.

18 Wo platziere ich Wireshark? 18 Gleichzeitige Aufzeichnung an zwei Messpunkten

19 Transmission Control Protocol (TCP) 19 Die drei Phasen der gesicherten TCP Datenübertragung:

20 Transmission Control Protocol (TCP) 20 Was alles schief laufen kann: Server akzeptiert SYN nicht Mögliche Ursachen: Keine Appl. auf diesem TCP Port Server ist überlastet Schlechter Durchsatz TCP Session bricht ab Netzwerk verliert Frames Server überlastet Client überlastet Viele, meistens nicht das Netzwerk

21 TCP Analyse mit dem Wireshark Expert 21 Der TCP Durchsatz wird durch drei Hauptkomponenten beeinflusst. Der Wireshark Expert bietet gute Unterstützung für die Optimierung. Expert Meldungen geben konkrete Hinweise auf Problemsituationen. Die TCP Analyse ermöglicht das Lösen von Finger Pointing Situationen. Network Client Server

22 TCP Analyse mit dem Wireshark Expert 22 Grafische Darstellung von TCP-Verbindungen Vorher Nachher

23 Hypertext Transfer Protocol (HTTP) 23 HTTP basiert auf einem Request- Response Dialog in Textformat

24 Hypertext Transfer Protocol (HTTP) 24 HTTP 1.1 Request methods (commands) GET - Dient der Anforderung einer HTML-Datei oder einer anderen Quelle. Die Quelle wird durch die URL adressiert. POST Wird zur Übermittlung von Formular-Daten an ein Programm oder Skript verwendet. Die Daten werden im Entity-Bereich getrennt durch eine Leerzeile vom Header übertragen. HEAD Fordert nur den Header (Metadaten) der URL an. (debugging) PUT - Erlaubt das Erstellen oder Ändern von Dateien auf dem Server. DELETE - führt zur Löschung der Datei, die durch die URL adressiert ist. OPTIONS - Dient zur Ermittlung von Kommunikationsoptionen durch den HTTP-Client. TRACE - Dient der Verfolgung von HTTP-Requests, die zwischen Client und Server über einen oder mehrere Proxy-Server laufen. Im Header-Feld "Via" des HTTP-Responses sind alle zwischengeschaltete Server protokolliert. CONNECT - Der Proxy-Server baut einen Tunnel zum angegebenen Rechner auf und übermittelt darin Daten und Kommandos zwischen Client und Server.

25 Hypertext Transfer Protocol (HTTP) 25 HTTP Response Codes: Dies ist eine Auswahl, total sind gegen 100 Response Codes definiert

26 Hypertext Transfer Protocol (HTTP) 26 Filtern auf die Response Codes ungleich 200 zeigt HTTP Fehlermeldungen

27 Danke für Ihre Aufmerksamkeit 27 Ich hoffe Sie haben auch einen Vorher - Nachher Effekt Gerne begrüssen wir Sie an einem Kurs von Leutert NetServices Grundkurse bei Studerus: NET-Analyse mit Wireshark IPv6-Protokoll Einführung LAB-Kurse bei HSR: (Hochschule Rapperswil) TCP/IP Protokolle WLAN Analyse IPv6 Praxisworkshop VoIP Protokolle SeaPics.com Registrieren sie sich für den technischen Newsletter