Wireshark Lab: IP. Versão KUROSE, J.F & ROSS, K. W. Todos os direitos reservados 2011 BATISTA, O. M. N. Tradução e adaptação para Wireshark.

Transcrição

1 Wireshark Lab: IP Versão KUROSE, J.F & ROSS, K. W. Todos os direitos reservados 2011 BATISTA, O. M. N. Tradução e adaptação para Wireshark. Neste laboratório, investigaremos o Internet Protocol (IP), concentrando-se no datagrama IP. Faremos isso através da análise de datagramas IP enviados e recebidos pela execução do programa traceroute (o programa traceroute é explorado em mais detalhes no laboratório wireshark sobre Internet Control Message Protocol ICMP). Investigaremos os vários campos no datagrama IP, e estudaremos a fragmentação IP detalhadamente. Antes de iniciar este laboratório, você provavelmente desejará revisar as seções 1.63 do texto e a seção 3.4 da RFC para se atualizar sobre a operação do programa traceroute. Você também desejará ler a seção 4.4 no texto, e provavelmente a RFC em mãos também, para uma discussão do IP. 1. Capturando Pacotes de uma execução do traceroute O programa traceroute será utilizado para enviar datagramas de tamanhos diferentes a algum destino, X, para que possamos gerar traços de datagramas IP para este laboratório. Lembre-se de que o traceroute funciona enviando inicialmente um ou mais datagramas com o campo Time-To-Live (TTL) no campo do cabeçalho IP com o valor 1; ele então envia uma série de um ou mais datagramas para o mesmo destino com o valor de TTL igual a 2; ele então envia uma série de datagramas ao mesmo destino com o valor de TTL igual a 3; e assim por diante. Lembre-se de que um roteador deve decrementar o TTL em cada datagrama recebido por 1 (atualmente, a RFC 791 diz que o roteador deve decrementar o TTL em cada datagrama recebido por pelo menos um). Se o TTL chega a zero, o roteador retorna um pacote ICMP (tipo 11 TTL excedido) ao host emissor. Como um resultado deste comportamento, um datagrama com TTL de 1 (enviado pelo host executando o traceroute) fará com que o roteador um salto adiante do emissor enviar um 1ftp://ftp.rfc-editor.org/in-notes/rfc2151.txt 2ftp://ftp.rfc-editor.org/in-notes/rfc791.txt

2 pacote ICMP de TTL excedido de volta ao emissor; o datagrama enviado com um TTL de 2 fará o roteador dois saltos adiante enviar um pacote ICMP de volta ao emissor; o datagrama enviado com um TTL de 3 fará o roteador três saltos adiante enviar um pacote ICMP de volta ao emissor; e assim por diante. Desta maneira, o host executando traceroute pode aprender as identidades dos roteadores entre ele e o destino X observando o endereço IP dos datagramas contendo os pacotes ICMP de TTL excedido. Nós executaremos o traceroute de forma que ele envie datagramas de vários comprimentos. Observações com relação aos sistemas operacionais executando o traceroute: Windows: o programa tracert (usado para o nosso laboratório wireshark ICMP) fornecido pelo windows não permite a mudança do tamanho do pacote ICMP echo request enviado. Um programa que faz o mesmo de forma melhor para Windows é o pingplotter 3. Baixe e instale o pingplotter, e teste-o com seus sites favoritos. O tamanho do pacote ICMP echo request pode ser explicitamente modificado no pingplotter no item de menu Edit -> Advanced Options -> Packet Options e então preenchendo o campo tamanho do pacote. Uma vez que o pingplotter tenha enviado uma série de pacotes com os valores crescentes de TTL, ele reinicia o processo de envio com um TTL de 1, após aguardar pelo tempo de intervalo de trace. O valor do intervalo de trace e a quantidade de intervalos pode ser explicitamente atribuído no pingplotter. Linux ou Unix: com o comando traceroute do Unix, o tamanho do datagrama UDP enviado ao destino pode ser explicitamente atribuído indicando a quantidade de bytes no datagrama; este valor é informado na linha do comando traceroute imediatamente após o nome ou endereço do destino. Por exemplo, para enviar datagramas com 2000 bytes para gaia.cx.umass.edu, o comando é: % traceroute gaia.cs.umass.edu 2000 Faça o seguinte: 1. inicie o Wireshar e inicie a captura de pacotes (Capture -> Start), escolha a interface de rede e pressione Ok. 2. use o pingplotter no Windows ou traceroute no Linux/Unix e repita o comando três vezes: a primeira com tamanho de pacote de 56 bytes, a segunda com tamanho de pacote de 2000 bytes e a terceira com tamanho de pacotes de 3500 bytes. 3

3 3. pare a captura de pacotes no Wireshark. Se você não pode executar o Wireshark no modo de captura de pacotes, pode baixar um arquivo de captura 4 gravado por um dos professores depois da execução dos passos aqui descritos. Este arquivo de captura pode ser usado mesmo que você consiga capturar pacotes para responder às questões deste laboratório. 2. Uma Olhada nos Pacotes Capturados Na sua tela de captura de pacotes do Wireshark, você deve ver uma série de ICMP Echo Request (no caso de um host com Windows) ou o datagrama UDP (no caso de Unix/Linux) enviados por seu host e os pacotes ICMP de TTL excedido retornadas a ele pelos roteadores intermediários. Uma maneira de facilitar esta visualização é inserir icmp or udp, sem as aspas, na caixa de textos de filtros (Filter) e pressionar o botão Apply. Isso deixa apenas o que importa na tela! Quando for possível, ao responder uma pergunta, você deve ter em mãos uma impressão do(s) pacote(s) que você utilizou para responder. Anote a impressão e explique a resposta. Para imprimir um pacote, use File -> Print, escolha Selected packet only, escolha Packet summary line, e selecione a quantidade mínima de detalhes de pacote que você precisa para responder à pergunta. 3. Perguntas 1. Selecione o primeiro pacote ICMP Echo Request enviada pelo seu host e expanda a parte do IP do pacote na janela de detalhes do pacote. Lembre-se que no caso de Unix/Linux, isso é um datagrama UDP (figura 1). Qual é o endereço IP do seu host? 4

4 Figura 1. Captura de pacotes do traceroute. 2. Dentro do cabeçalho do pacote IP, qual é o valor no campo de protocolo da camada superior? 3. Qual o tamanho, em bytes, do cabeçalho IP? Qual o tamanho, em bytes, do campo de dados do datagrama IP? Explique como você determinou o tamanho do campo de dados. 4. Este datagrama foi fragmentado? Explique como você determinou isso. Depois, ordene os pacotes capturados conforme o endereço fonte IP clicando no cabeçalho da coluna; uma pequena seta em direção para baixo deve aparecer prózimo da palavra Source. Se a seta apontar para cima, clique novamente. Selecione o primeiro pacote ICMP Echo Request enviada por seu host.e expanda a porção do IP na janela details of selected packet header. Na janela listing of captured packets, você deve ver todas os pacotes ICMP subsequentes abaixo deste primeiro ICMP. Use a seta para baixo para mover para outros pacotes ICMP enviadas pelo seu host.

5 5. Quais campos no datagrama IP sempre mudam de um datagrama para outro dentro dessa série de pacotes ICMP enviados por seu host? 6. Quais campos mantém-se constantes? Quais dos campos devem manter-se constantes? Quais campos devem mudar? Por quê? 7. Descreva o padrão que você vê nos valores no campo de identificação do datagrama IP. Depois (com os pacotes ainda ordenados pelo endereço fonte) encontre a série de respostas ICMP de TTL excedido enviadas ao seu host pelo roteador mais próximo, o de primeiro salto. 8. Quais são os valores dos campos de identificação e TTL? 9. Estes valores permanecem inalterados para todas as respostas ICMP de TTL excedido enviadas ao seu host pelo roteador mais prócimo? Por quê? Fragmentação Oredene a lista de pacotes conforme o tempo clicando na coluna Time. 10. Encontre o primeiro pacote ICMP Echo Request que foi enviado pelo seu host após o comprimento foi modificado para 2000 bytes. Este pacote foi fragmentado? 11. Imprima o primeiro fragmento. Que informação no cabeçalho IP indica que é um fragmento? Que informação no cabeçalho IP indica se este é o primeiro fragmento ou outro? Qual o comprimento deste datagrama? 12. Imprima o segundo fragmento. Qual informação no cabeçalho IP indica que este não é o primeiro fragmento? Há mais fragmentos? Como você pode saber? 13. Quais campos mudam no cabeçalho IP do primeiro para o segundo fragmento?

6 Agora encontre o primeiro pacote ICMP Echo Request que foi enviado pelo seu host após você modificar o comprimento do pacote para 3500 bytes. 14. Quantos fragmentos foram criados do datagrama original? 15. Quais campos mudam no datagrama IP entre os fragmentos?