Wireshark, ett nätverksanalysverktyg som tidigare kallades Ethereal, fångar paket i realtid och visar dem i läsbart format. Wireshark innehåller filter, färgkodning och andra funktioner som låter dig gräva djupt i nätverkstrafik och inspektera enskilda paket.
Denna handledning kommer att få dig snabbare med grunderna för att fånga paket, filtrera dem och inspektera dem. Du kan använda Wireshark för att inspektera ett misstänkt programs nätverkstrafik, analysera trafikflödet i ditt nätverk eller felsöka nätverksproblem.
Få Wireshark
Du kan ladda ner Wireshark för Windows eller macOS från dess officiella webbplats . Om du använder Linux eller ett annat UNIX-liknande system hittar du förmodligen Wireshark i dess paketförvar. Om du till exempel använder Ubuntu hittar du Wireshark i Ubuntu Software Center.
Bara en snabb varning: Många organisationer tillåter inte Wireshark och liknande verktyg i sina nätverk. Använd inte det här verktyget på jobbet om du inte har tillstånd.
Fångar paket
Efter nedladdning och installation av Wireshark kan du starta den och dubbelklicka på namnet på ett nätverksgränssnitt under Capture för att börja fånga paket i det gränssnittet. Om du till exempel vill fånga trafik i ditt trådlösa nätverk, klicka på ditt trådlösa gränssnitt. Du kan konfigurera avancerade funktioner genom att klicka på Capture> Options, men det är inte nödvändigt för tillfället.
Så snart du klickar på gränssnittsnamnet ser paketen att visas i realtid. Wireshark fångar upp varje paket som skickas till eller från ditt system.
Om du har aktiverat promiskuöst läge - det är aktiverat som standard - ser du också alla andra paket i nätverket istället för endast paket som är adresserade till din nätverksadapter. För att kontrollera om promiskuöst läge är aktiverat klickar du på Capture> Options och kontrollerar att kryssrutan "Aktivera promiskuöst läge på alla gränssnitt" är aktiverad längst ner i det här fönstret.
Klicka på den röda "Stopp" -knappen nära fönstrets övre vänstra hörn när du vill sluta fånga trafik.
Färgkodning
Du kommer förmodligen att se paket markerade i en mängd olika färger. Wireshark använder färger för att snabbt kunna identifiera typer av trafik. Som standard är lila TCP-trafik, ljusblå UDP-trafik och svart identifierar paket med fel - till exempel kunde de ha levererats i ordning.
För att se exakt vad färgkoderna betyder, klicka på Visa> Färgregler. Du kan också anpassa och ändra färgreglerna härifrån, om du vill.
Provtagning
Om det inte finns något intressant i ditt eget nätverk att inspektera, har Wiresharks wiki täckt dig. Wiki innehåller en sida med exempelinspelningsfiler som du kan ladda och inspektera. Klicka på Arkiv> Öppna i Wireshark och leta efter din nedladdade fil för att öppna en.
Du kan också spara dina egna fångster i Wireshark och öppna dem senare. Klicka på Arkiv> Spara för att spara dina fångade paket.
Filtrera paket
Om du försöker inspektera något specifikt, till exempel den trafik som ett program skickar när du ringer hem, hjälper det att stänga alla andra applikationer som använder nätverket så att du kan begränsa trafiken. Ändå har du troligen en stor mängd paket att sikta igenom. Det är där Wiresharks filter kommer in.
Det mest grundläggande sättet att tillämpa ett filter är att skriva in det i filterrutan högst upp i fönstret och klicka på Verkställ (eller tryck på Enter). Skriv till exempel “dns” så visas bara DNS-paket. När du börjar skriva kommer Wireshark att hjälpa dig att komplettera ditt filter automatiskt.
Du kan också klicka på Analysera> Visa filter för att välja ett filter bland de standardfilter som ingår i Wireshark. Härifrån kan du lägga till dina egna anpassade filter och spara dem för att enkelt komma åt dem i framtiden.
För mer information om filtreringsspråket för Wireshark display, läs Bygga displayfilteruttryck sidan i den officiella Wireshark-dokumentationen.
En annan intressant sak du kan göra är att högerklicka på ett paket och välja Följ> TCP Stream.
Du ser hela TCP-konversationen mellan klienten och servern. Du kan också klicka på andra protokoll i menyn Följ för att se fullständiga konversationer för andra protokoll, om tillämpligt.
Stäng fönstret så ser du att ett filter har tillämpats automatiskt. Wireshark visar dig de paket som utgör konversationen.
Inspektera paket
Klicka på ett paket för att välja det och du kan gräva ner det för att se dess detaljer.
Du kan också skapa filter härifrån - högerklicka bara på en av detaljerna och använd undermenyn Använd som filter för att skapa ett filter baserat på det.
Wireshark är ett extremt kraftfullt verktyg, och denna handledning kliar bara på ytan på vad du kan göra med det. Professionella använder den för att felsöka implementeringar av nätverksprotokoll, undersöka säkerhetsproblem och inspektera internt i nätverksprotokoll.
Du kan hitta mer detaljerad information i tjänstemannen Wireshark användarhandbok och den andra dokumentationssidor på Wiresharks webbplats.
