Topologie Lernziele Teil 1: Prüfen der Header-Felder in einem Ethernet-II-Rahmen Teil 2: Analysieren und Erfassen von Ethernet-Rahmen mit Wireshark Hintergrund / Szenario Wenn höhere Schichtprotokolle miteinander kommunizieren, fließen Daten die Open Systems Interconnection (OSI)-Schichten herunter und werden in einem Schicht-2-Rahmen gekapselt. Die Rahmenzusammensetzung ist abhängig vom Medienzugriffstyp. Falls zum Beispiel die höheren Schichtprotokolle TCP und IP sind und der Medienzugriff Ethernet ist, wird die Schicht-2-Rahmenkapselung Ethernet II sein. Das ist typisch für eine LAN-Umgebung. Beim Lernen über Schicht-2-Konzepte ist es hilfreich, Rahmen-Header-Informationen zu analysieren. Im ersten Teil dieser Übung werden Sie die Felder überprüfen, die in einem Ethernet-II-Rahmen enthalten sind. In Teil 2 verwenden Sie Wireshark zum Erfassen und Analysieren der Kopffelder von Ethernet-II-Rahmen für lokalen und Remote-Datenverkehr. Erforderliche Ressourcen 1 PC (Windows 7, Vista oder XP mit Internet-Zugang und installiertem Wireshark) Part 1: Prüfen der Header-Felder in einem Ethernet-II-Rahmen In Teil 1 untersuchen Sie die Header-Felder und den Inhalt in einem Ethernet-II-Rahmen. Ein Erfassen mit Wireshark wird verwendet, um den Inhalt dieser Felder zu prüfen. Step 1: Beschreibung und Länge der Erthernet-II-Header-Felder prüfen Präambel Ziel adresse Quell adresse Rahmen typ Daten FCS 8 Byte 6 Byte 6 Byte 2 Byte 46 1500 Byte 4 Byte Step 2: Netzwerkkonfiguration des PCs überprüfen Die Host-IP-Adresse des PCs ist 10.20.164.22 und der Default Gateway hat die IP-Adresse 10.20.164.17. Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 1 von 7
Step 3: Ethernet-Rahmen in einer Erfassung mit Wireshark überprüfen Die Erfassung mit Wireshark unten zeigt die Pakete, die durch einen Ping generiert wurden, der von einem PC-Host zu seinem Default Gateway gesendet wurde. Ein Filter wurde auf Wireshark angewendet, damit nur die ARP- und ICMP-Protokolle angezeigt werden. Die Sitzung beginnt mit einer ARP-Anfrage für die MAC- Adresse des Gateway-Routers, gefolgt von vier Ping-Anfragen und Antworten. Step 4: Den Inhalt des Ethernet-II-Headers einer ARP-Anfrage prüfen Die folgende Tabelle nimmt den ersten Rahmen in der Wireshark-Erfassung und zeigt die Daten in den Ethernet-II-Header-Feldern. Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 2 von 7
Feld Wert Beschreibung Präambel Zieladresse Quelladresse In Erfassung nicht gezeigt Broadcast (ff:ff:ff:ff:ff:ff) Dell_24:2a:60 (5c:26:0a:24:2a:60) Dieses Feld enthält Synchronisierbits, verarbeitet durch die NIC-Hardware. Schicht-2-Adresse für den Rahmen Jede Adresse hat eine Länge von 48 Bit oder 6 Bytes, ausgedrückt als 12 hexadezimale Ziffern, 0-9,A-F. Ein übliches Format ist 12:34:56:78:9A:BC. Die ersten sechs Hex-Zahlen stehen für den Hersteller der Netzwerkkarte (NIC), die letzten sechs Hex-Zahlen sind die Seriennummer der Netzwerkkarte. Die Zieladresse kann broadcast sein, also nur Einsen enthalten, oder unicast. Die Quelladresse ist immer unicast. Rahmentyp 0x0806 Für Ethernet-II-Rahmen enthält dieses Feld einen hexadezimalen Wert, der verwendet wird, um die Art des höheren Schichtprotokolls im Datenfeld anzugeben. Es gibt zahlreiche höhere Schichtprotokolle, die durch Ethernet II unterstützt werden. Zwei gängige Rahmentypen sind: Wert Beschreibung 0x0800 IPv4-Protokoll 0x0806 Address Resolution-Protokoll (ARP) Daten ARP Enthält das gekapselte höhere Schichtprotokoll. Das Datenfeld ist 46 1.500 Byte groß. FCS In Erfassung nicht gezeigt Rahmenprüfsumme (Frame Check Sequence), verwendet von der NIC zur Erkennung von Fehlern während der Übertragung. Der Wert wird von der sendenden Maschine berechnet und umfasst Rahmenadresse, -typ und Datenfeld. Er wird vom Empfänger überprüft. Was ist am Inhalt des Zieladressfeldes bedeutsam? Warum sendet der PC eine Broadcast-ARP, bevor er die erste Ping-Anfrage sendet? Wie lautet die MAC-Adresse der Quelle in dem ersten Rahmen? Wie lautet die Herstellerkennung (OUI) der Quell-NIC? Welcher Teil der MAC-Adresse ist die OUI? Was ist die Seriennummer der Quell-NIC? Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 3 von 7
Part 2: Analysieren und Erfassen von Ethernet-Rahmen mit Wireshark In Teil 2 verwenden Sie Wireshark zum Erfassen lokaler und remoter Ethernet-Rahmen. Sie werden dann die Informationen prüfen, die in den Rahmen-Header-Feldern enthalten sind. Step 1: IP-Adresse des Default Gateways an Ihrem PC bestimmen Öffnen Sie das Befehlseingabefenster und erteilen Sie den Befehl ipconfig. Wie lautet die IP-Adresse des PC-Default Gateways? Step 2: Verkehrserfassung auf der Netzwerkkarte Ihres PCs starten a. Öffnen Sie Wireshark. b. In der Werkzeugleiste des Wireshark Network Analyzer klicken Sie auf das Symbol Interface List. c. Im Fenster Wireshark: Capture Interfaces wählen Sie die Schnittstelle, für die die Verkehrserfassung gestartet werden soll durch Klicken auf das entsprechende Kontrollkästchen und klicken dann auf Start. Falls Sie unsicher sind, welche Schnittstelle geprüft werden soll, klicken Sie auf Details für weitere Informationen zu den jeweils aufgeführten Schnittstellen. d. Beobachten Sie den Verkehr, der im Fenster Packet List erscheint. Step 3: Wireshark filtern, damit nur ICMP-Verkehr angezeigt wird Sie können den Filter in Wireshark nutzen, um die Sichtbarkeit von unerwünschten Datenverkehr zu blockieren. Der Filter blockiert nicht die Erfassung von unerwünschten Daten, er filtert lediglich, was auf dem Bildschirm angezeigt werden soll. Jetzt soll nur ICMP-Datenverkehr angezeigt werden. Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 4 von 7
Im Feld Wireshark Filter geben Sie icmp ein. Das Feld sollte grün werden, wenn Sie den Filter korrekt eingeben. Wenn das Feld grün ist, klicken Sie auf Apply, um den Filter anzuwenden. Step 4: Vom Befehlseingabefenster aus den Default Gateway Ihres PCs anpingen Geben Sie am Befehlseingabefenster den Ping-Befehl für den Default Gateway unter Verwendung der IP- Adresse ein, die Sie in Schritt 1 notiert haben. Step 5: Verkehrserfassung auf der Netzwerkkarte stoppen Klicken Sie auf das Symbol Stop Capture, um die Verkehrserfassung zu stoppen. Step 6: Die erste Echo (Ping)-Anfrage in Wireshark untersuchen Das Hauptfenster von Wireshark ist in drei Abschnitte unterteilt: die Pakteliste (oben), die Paketdetails (Mitte) und die Paketbytes (unten). Falls Sie in Schritt 3 die richtige Schnittstelle für die Datenerfassung ausgewählt haben, sollte Wireshark die ICMP-Informationen in der Paketliste von Wireshark anzeigen wie in dem folgenden Beispiel. a. In der Paketliste (oberer Abschnitt) klicken Sie auf den ersten aufgelisteten Rahmen. Sie sollten die Echo (Ping)-Anfrage unter der Spaltenüberschrift Info sehen. Dadurch sollte die Zeile blau hervorgehoben werden. b. Prüfen Sie die erste Zeile in Paketdetails (mittlerer Abschnitt). Diese Zeile zeigt die Länge des Rahmes an, in diesem Beispiel 74 Byte. Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 5 von 7
c. Die zweite Zeile im Teil Paketdetails zeigt an, dass es sich um einen Ethernet-II-Rahmen handelt. Die Quell- und Ziel-MAC-Adressen werden ebenfalls angezeigt. Wie lautet die MAC-Adresse der PC-NIC? Wie lautet die MAC-Adresse des Default Gateways? d. Sie können auf das Plus (+)-Zeichen am Anfang der zweiten Zeile klicken für weitere Informationen zu dem Ethernet-II-Rahmen. Beachten Sie, dass sich das Pluszeichen in ein Minus (-)-Zeichen ändert. Welcher Rahmentyp wird angezeigt? e. Die letzten zwei Zeilen, die im mittleren Abschnitt angezeigt werden, liefern Informationen zu dem Datenfeld des Rahmens. Beachten Sie, dass die Daten die IPv4-Quell- und Zieladressinformationen enthalten. Wie lautet die Quell-IP-Adresse? Wie lautet die Ziel-IP-Adresse? f. Sie können auf jede Zeile im mittleren Abschnitt klicken, um diesen Teil des Rahmens (Hex und ASCII) in Paketbytes (unterer Abschnitt) hervorzuheben. Klicken Sie auf die Zeile Internet Control Message Protocol im mittleren Abschnitt und prüfen Sie, was im Teil Paketbytes hervorgehoben wird. g. Was ergeben die letzten zwei markierten Byte? Klicken Sie auf den nächsten Rahmen im oberen Bereich und untersuchen Sie einen Echo-Antwortrahmen. Beachten Sie, dass die Quell- und Ziel-MAC- Adressen vertauscht sind, weil dieser Rahmen von dem Default Gateway-Router als Antwort auf die erste Ping-Anfrage gesendet wurde. Welches Gerät und welche MAC-Adresse werden als Zieladresse angezeigt? Step 7: Paketerfassung in Wireshark neu starten Klicken Sie auf das Symbol Start Capture, um eine neue Datenerfassung in Wireshark zu starten. Es erscheint ein Popup-Fenster mit der Frage, ob Sie die zuvor erfassten Pakete vor Beginn einer neuen Erfassung in einer Datei speichern möchten. Klicken Sie auf Continue without Saving. Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 6 von 7
Step 8: In dem Befehlseingabefenster erteilen Sie den Befehl ping www.cisco.com. Step 9: Paketerfassung stoppen Step 10: Prüfen Sie die neuen Daten in der Paketliste von Wireshark. Wie lautet in dem ersten Echo (Ping)-Anfragerahmen die Quell- und Ziel-MAC-Adresse? Quelle:. Ziel:. Welche Quell- und Ziel-IP-Adressen sind in dem Datenfeld des Rahmens enthalten? Quelle: Ziel: Vergleichen Sie diese Adressen mit den Adressen, die Sie in Schritt 7 erhalten haben. Die einzige Adresse, die sich geändert hat, ist die Ziel-IP-Adresse. Warum hat sich die Ziel-IP-Adresse geändert, während die Ziel- MAC-Adresse die gleiche geblieben ist? Reflexion Wireshark zeigt das Präambel-Feld eines Frame-Headers nicht an. Was ist in diesem Feld enthalten? Dieses Dokument ist eine öffentlich zugängliche Information von Cisco. Seite 7 von 7