Erste Wireshark-Aufnahme erstellen und mit Anzeigefiltern DNS-Antworten, TCP-Verbindungsaufbau und mögliche Wiederholungen untersuchen.
Wireshark-Anleitung: Netzwerkverkehr aufnehmen und DNS oder TCP prüfen
Mit Wireshark sehen Sie, welche Netzwerkpakete an einer ausgewählten Schnittstelle ankommen oder gesendet werden. Eine kurze Aufnahme hilft, eine DNS-Abfrage vom anschließenden Verbindungsaufbau zu unterscheiden. Erfassen Sie nur Verkehr, den Sie untersuchen dürfen.
Inhaltsverzeichnis
Anzeigen
1. Schnittstelle auswählen und kurz aufnehmen
Installieren Sie Wireshark über die Projektseite. Unter Windows wird zur Live-Aufnahme in der Regel Npcap benötigt. Unter Linux richtet das jeweilige Paket die Rechte für die Aufnahme ein. Nutzen Sie die dokumentierten Aufnahmerechte Ihrer Distribution.
Wählen Sie in Wireshark die aktive WLAN- oder Ethernet-Schnittstelle. Bei einem VPN kann die relevante Schnittstelle je nach Fragestellung eine andere sein. Starten Sie die Aufnahme, stellen Sie den Fehler einmal nach und stoppen Sie sie danach.
2. DNS-Antworten mit einem Anzeigefilter prüfen
Erzeugen Sie einen einfachen Test, etwa mit nslookup example.org. Geben Sie oben im Anzeigefeld dns ein. Dieser Filter ändert die Anzeige der bereits aufgenommenen Daten. Ein Aufzeichnungsfilter entscheidet dagegen vorher, welche Pakete überhaupt gespeichert werden.
Mit dns.qry.name == "example.org" grenzen Sie normale DNS-Pakete auf diese Anfrage ein. Prüfen Sie, ob Sie Anfrage und Antwort sehen und welcher Antwortcode vorliegt. Bei verschlüsseltem DNS im Browser sieht ein Mitschnitt die einzelnen Namensanfragen möglicherweise nicht.
3. TCP-Verbindungsaufbau prüfen
| Anzeigefilter | Was er hervorhebt |
|---|---|
tcp.flags.syn == 1 | Pakete mit gesetztem SYN-Bit, darunter Verbindungsanfragen und SYN/ACK-Antworten. |
tcp.analysis.retransmission | Pakete, die Wireshark als mögliche TCP-Wiederholungen einordnet. |
tls | Verkehr, den Wireshark als TLS erkennt. |
Prüfen Sie Zeitpunkte, Adressen und Ports. Mehrere SYNs ohne sichtbare Antwort können auf ein Problem hinweisen. Die Aufnahme kann aber auch am falschen Punkt liegen. Ein Mitschnitt zeigt meist keine entschlüsselten HTTPS-Inhalte.
Mitschnitt speichern und weitergeben
Wenn Sie die Aufnahme brauchen, speichern Sie sie als .pcapng. Mitschnitte können interne IP-Adressen, Hostnamen und Inhalte unverschlüsselter Verbindungen enthalten. Begrenzen Sie Dauer und Umfang und geben Sie Dateien nur an die zuständigen Personen weiter.
Weiterführende Anleitungen und Quellen
Häufige Fragen
Warum sehe ich im Heimnetz nicht den Verkehr aller Geräte?
In einem normalen geswitchten Netz sieht Ihr Rechner hauptsächlich seinen eigenen Verkehr und bestimmte Broadcasts. Die Sicht hängt davon ab, wo Sie aufnehmen.
Was ist der Unterschied zwischen Capture- und Display-Filter?
Ein Capture-Filter begrenzt die Speicherung. Ein Display-Filter blendet vorhandene Pakete ein oder aus.
Entschlüsselt Wireshark automatisch HTTPS?
Nein. Ohne passende Schlüssel sehen Sie normalerweise Verbindungsdaten und verschlüsselte Nutzdaten.
- calibre einrichten: E-Books verwalten, konvertieren und übertragen
E-Books in calibre importieren, Metadaten bearbeiten, eine EPUB-Kopie erstellen und das Buch auf einen kompatiblen Reader übertragen. - TrueNAS installieren: Ersten ZFS-Pool und eine SMB-Freigabe einrichtenTrueNAS Community Edition installieren, einen gespiegelten ZFS-Pool aus zwei leeren Laufwerken erstellen und die erste SMB-Freigabe testen.
- FreeCAD für Einsteiger: Erste Skizze und ein Bauteil mit Bohrung
In FreeCAD eine bemaßte Skizze erstellen, eine Platte aufpolstern und mit einer Tasche eine Bohrung durch das Bauteil erzeugen.
