Wireshark ist das beliebteste Tool fuer Deep Packet Inspection und Netzwerkanalyse. Es erfasst den gesamten Verkehr an einer Netzwerkschnittstelle und ermoeglicht die Analyse auf Ebene einzelner Pakete. Fuer Netzwerkingenieure und Sicherheitsspezialisten ist es unverzichtbar bei der Diagnose von Verbindungsproblemen, der Protokollanalyse oder der Untersuchung von Sicherheitsvorfaellen. Die GUI-Oberflaeche ermoeglicht intuitive Arbeit mit Filtern und Visualisierungen, die im Terminal nicht verfuegbar sind.
Installation¶
sudo apt install wireshark
brew install --cask wireshark
Display-Filter¶
http # gesamter HTTP-Verkehr
tcp.port == 443 # TLS/HTTPS-Verkehr
ip.addr == 10.0.1.50 # Verkehr von/zu einer bestimmten IP
http.response.code >= 400 # HTTP-Fehler
!(arp || dns) # alles ausser ARP und DNS
tcp.analysis.retransmission # TCP-Retransmissionen (Verbindungsprobleme)
Display-Filter sind deutlich maechtigter als Capture-Filter — sie ermoeglichen das Filtern nach beliebigen Feldern in beliebigen Protokollen. Filter koennen mit logischen Operatoren (&&, ||, !) kombiniert und Werte verglichen werden (<, >, ==, !=, contains, matches).
Wichtige Funktionen¶
- Follow TCP Stream — zeigt die gesamte Konversation zwischen Client und Server in lesbarer Form
- Statistics -> Conversations — Ueberblick, wer mit wem kommuniziert und welches Datenvolumen
- Statistics -> I/O Graph — Traffic-Visualisierung im Zeitverlauf, nuetzlich zur Identifikation von Spitzen
- Statistics -> Protocol Hierarchy — Verkehrsaufschluesselung nach Protokollen
Remote Capture¶
ssh user@server 'sudo tcpdump -w - port 80' | wireshark -k -i -
Dieser Ansatz kombiniert die Staerken beider Tools — tcpdump erfasst Pakete direkt auf dem entfernten Server ohne GUI-Overhead, und Wireshark analysiert sie lokal mit der vollstaendigen GUI. Alternativ koennen Sie eine pcap-Datei auf dem Server erfassen und zur lokalen Analyse herunterladen.
Wireshark fuer Tiefenanalyse¶
tcpdump auf dem Server fuer schnelles Capturing, Wireshark lokal fuer detaillierte Analyse. Diese Kombination deckt die meisten Netzwerkdiagnose-Szenarien ab, von einfachen Verbindungsproblemen bis hin zu komplexen Anwendungsprotokollanalysen.