Wireshark_IP_v8 1 (1)

Prévia do material em texto

<p>Laboratório Wireshark:</p><p>PI v8.1</p><p>Suplemento para redes de computadores: uma</p><p>abordagem de cima para baixo, 8ª ed ., JF Kurose e</p><p>KW Ross</p><p>“Diga-me e eu esqueço. Mostre-me e eu me lembrarei.</p><p>Envolva-me e eu entenderei.” Provérbio chinês</p><p>© 2005-2021, JF Kurose e KW Ross, Todos os direitos</p><p>reservados</p><p>Neste laboratório, investigaremos o famoso protocolo IP, com foco nos datagramas IPv4</p><p>e IPv6. Este laboratório tem três partes. Na primeira parte, analisaremos pacotes em um</p><p>trace de datagramas IPv4 enviados e recebidos pelo programa traceroute (o próprio</p><p>programa traceroute é explorado com mais detalhes no laboratório ICMP do</p><p>Wireshark). Estudaremos a fragmentação de IP na Parte 2 deste laboratório e daremos</p><p>uma rápida olhada no IPv6 na Parte 3 deste laboratório.</p><p>Antes de começar, você provavelmente desejará revisar as seções 1.4.3 do texto 1e a</p><p>seção 3.4 da RFC 2151 para se atualizar sobre a operação do programa traceroute .</p><p>Você também vai querer ler a Seção 4.3 do texto e provavelmente também ter a RFC 791</p><p>em mãos para uma discussão sobre o protocolo IP. Se você responder às perguntas sobre</p><p>fragmentação de IP, com certeza também desejará revisar o material sobre fragmentação</p><p>de IP. Embora tenhamos removido o tópico da fragmentação de IP da 8ª edição do nosso</p><p>livro (para abrir espaço para novo material), você pode encontrar material sobre</p><p>fragmentação de IP da 7ª edição do nosso livro (e anteriores) em http:/</p><p>/gaia.cs.umass.edu/kurose_ross/Kurose_Ross_7th_edition_section_4.3.2.pdf .</p><p>RFC 8200 é o RFC completo para IPv6, mas ler isso é um pouco exagerado para este</p><p>laboratório; você pode revisar o IPv6 consultando a Seção 4.3.4 do livro.</p><p>Capturando pacotes de uma execução de traceroute</p><p>Para gerar um rastreamento de datagramas IPv4 para as duas primeiras partes deste</p><p>laboratório, usaremos o programa traceroute para enviar datagramas de dois</p><p>1 As referências às figuras e seções referem-se à 8ª edição do nosso texto, Computer Networks, A Top-down</p><p>Approach, 8 h ed., JF Kurose e KW Ross, Addison-Wesley/Pearson, 2020. Nosso site para este livro é</p><p>http ://gaia.cs.umass.edu/kurose_ross Você encontrará muito material aberto interessante lá.</p><p>https://tools.ietf.org/html/rfc8200</p><p>http://gaia.cs.umass.edu/kurose_ross/Kurose_Ross_7th_edition_section_4.3.2.pdf</p><p>http://gaia.cs.umass.edu/kurose_ross/Kurose_Ross_7th_edition_section_4.3.2.pdf</p><p>https://tools.ietf.org/html/rfc791</p><p>https://tools.ietf.org/html/rfc2151</p><p>http://gaia.cs.umass.edu/kurose_ross</p><p>tamanhos diferentes para gaia.cs.umass.edu. Lembre-se de que o traceroute opera</p><p>enviando primeiro um ou mais datagramas com o campo time-to-live (TTL) no cabeçalho</p><p>IP definido como 1; em seguida, envia uma série de um ou mais datagramas para o</p><p>mesmo destino com um valor TTL de 2; em seguida, envia uma série de datagramas para</p><p>o mesmo destino com um valor TTL de 3; e assim por diante. Lembre-se de que um</p><p>roteador deve diminuir o TTL em cada datagrama recebido em 1 (na verdade, a RFC 791</p><p>diz que o roteador deve diminuir o TTL em pelo menos um). Se o TTL atingir 0, o</p><p>roteador retornará uma mensagem ICMP (tipo 11 – TTL excedido) ao host remetente.</p><p>Como resultado desse comportamento, um datagrama com um TTL de 1 (enviado pelo</p><p>host que executa traceroute ) fará com que o roteador, a um salto de distância do</p><p>remetente, envie uma mensagem ICMP com TTL excedido de volta ao remetente; o</p><p>datagrama enviado com um TTL de 2 fará com que o roteador, a dois saltos de distância,</p><p>envie uma mensagem ICMP de volta ao remetente; o datagrama enviado com um TTL de</p><p>3 fará com que o roteador, a três saltos de distância, envie uma mensagem ICMP de volta</p><p>ao remetente; e assim por diante. Dessa maneira, o host que executa o traceroute</p><p>pode aprender os endereços IP dos roteadores entre ele e o destino, observando os</p><p>endereços IP de origem nos datagramas que contêm as mensagens ICMP com TTL</p><p>excedido.</p><p>Vamos executar o traceroute e enviar datagramas de dois tamanhos diferentes. O</p><p>maior dos dois comprimentos de datagrama exigirá que as mensagens de traceroute</p><p>sejam fragmentadas em vários datagramas IPv4.</p><p> Linux/Mac OS. Com o comando traceroute do Linux/MacOS , o</p><p>tamanho do datagrama UDP enviado ao destino final pode ser definido</p><p>explicitamente indicando o número de bytes no datagrama; esse valor é inserido</p><p>na linha de comando do traceroute imediatamente após o nome ou</p><p>endereço do destino. Por exemplo, para enviar datagramas traceroute de</p><p>2.000 bytes para gaia.cs.umass.edu, o comando seria:</p><p>% traceroute gaia.cs.umass.edu 2000</p><p> Windows. O programa tracert fornecido com o Windows não permite alterar</p><p>o tamanho da mensagem ICMP enviada pelo tracert . Portanto, não será</p><p>possível usar uma máquina Windows para gerar mensagens ICMP grandes o</p><p>suficiente para forçar a fragmentação de IP. No entanto, você pode usar o</p><p>tracert para gerar pacotes pequenos e de comprimento fixo para realizar a</p><p>Parte 1 deste laboratório. No prompt de comando do DOS, digite:</p><p>>tracert gaia.cs.umass.edu</p><p>Se quiser fazer a segunda parte deste laboratório, você pode baixar um arquivo de</p><p>rastreamento de pacotes que foi capturado em um dos computadores do autor 2.</p><p>2 Você pode baixar o arquivo zip http://gaia.cs.umass.edu/wireshark-labs/wireshark-traces-8.1.zip e extrair</p><p>o arquivo de rastreamento ip-wireshark-trace1-1.pcapng . Este arquivo de rastreamento pode ser usado</p><p>para responder a essas perguntas do laboratório Wireshark sem realmente capturar pacotes por conta</p><p>própria. O rastreamento foi feito usando o Wireshark rodando em um dos computadores do autor, durante a</p><p>execução das etapas deste laboratório do Wireshark. Depois de baixar um arquivo de rastreamento, você</p><p>pode carregá-lo no Wireshark e visualizar o rastreamento usando o menu suspenso Arquivo , escolhendo</p><p>Abrir e selecionando o nome do arquivo de rastreamento.</p><p>http://gaia.cs.umass.edu/wireshark-labs/wireshark-traces-8.1.zip</p><p>Faça o seguinte:</p><p> Inicie o Wireshark e comece a captura de pacotes. (Capturar->Iniciar ou clique</p><p>no botão da barbatana de tubarão azul no canto superior esquerdo da janela do</p><p>Wireshark).</p><p> Insira dois comandos traceroute , usando gaia.cs.umass.edu como destino, o</p><p>primeiro com comprimento de 56 bytes. Assim que a execução do comando for</p><p>concluída, insira um segundo comando traceroute para o mesmo destino,</p><p>mas com comprimento de 3.000 bytes.</p><p> Pare o rastreamento do Wireshark.</p><p>Se você não conseguir executar o Wireshark em uma conexão de rede ativa, você pode</p><p>usar o arquivo de rastreamento de pacotes, ip-wireshark-trace1-1.pcapng , referenciado</p><p>na nota de rodapé 2. Você pode achar valioso baixar esse rastreamento mesmo se você</p><p>Você capturou seu próprio rastro e o utilizou, bem como seu próprio rastro, conforme</p><p>explora as questões abaixo.</p><p>Parte 1: IPv4 Básico</p><p>No seu rastreamento, você poderá ver a série de segmentos UDP (no caso do</p><p>MacOS/Linux) ou mensagens ICMP Echo Request (Windows) enviadas pelo</p><p>traceroute no seu computador, e as mensagens ICMP TTL excedido retornadas ao</p><p>seu computador pelos roteadores intermediários. Nas perguntas abaixo, presumiremos</p><p>que você está usando um computador MacOS/Linux; as questões correspondentes para o</p><p>caso de uma máquina Windows devem ser claras. Sua tela deve ser semelhante à captura</p><p>de tela da Figura 2, onde usamos o filtro de exibição “udp||icmp” (veja o campo display-</p><p>filter preenchido em verde claro na Figura 2) para que apenas o protocolo UDP e/ou</p><p>ICMP pacotes são exibidos.</p><p>Figura 2: Captura de tela do Wireshark, mostrando pacotes UDP e ICMP no tracefile ip-</p><p>wireshark-trace1-1.pcapng</p><p>Responda às seguintes perguntas 3. Se você estiver fazendo este laboratório como parte da</p><p>aula, seu professor fornecerá detalhes sobre como entregar as tarefas, sejam elas escritas</p><p>ou em um LMS.</p><p>1. Selecione o primeiro segmento UDP enviado pelo seu computador através do</p><p>comando traceroute para gaia.cs.umass.edu. (Dica: este é o 44º pacote no</p><p>arquivo de rastreamento no ip-wireshark-trace1-1.pcapng arquivo na nota de</p><p>rodapé 2). Expanda a parte Protocolo da</p><p>Internet do pacote na janela de detalhes</p><p>do pacote. Qual é o endereço IP do seu computador?</p><p>2. Qual é o valor no campo time-to-live (TTL) no cabeçalho deste datagrama IPv4?</p><p>3. Qual é o valor no campo do protocolo da camada superior no cabeçalho deste</p><p>datagrama IPv4? [Nota: as respostas para Linux/MacOS diferem do Windows</p><p>aqui].</p><p>3 Para a aula do autor, ao responder às seguintes perguntas com tarefas entregues, os alunos às vezes</p><p>precisam imprimir pacotes específicos (veja o laboratório introdutório do Wireshark para uma explicação</p><p>de como fazer isso) e indicar onde no pacote eles encontraram o informações que respondem a uma</p><p>pergunta. Eles fazem isso marcando as cópias em papel com uma caneta ou anotando as cópias eletrônicas</p><p>com texto em fonte colorida. Existem também módulos de sistema de gerenciamento de aprendizagem</p><p>(LMS) para professores que permitem aos alunos responder a essas perguntas on-line e ter respostas</p><p>avaliadas automaticamente para esses laboratórios Wireshark em</p><p>http://gaia.cs.umass.edu/kurose_ross/lms.htm</p><p>http://gaia.cs.umass.edu/kurose_ross/lms.htm</p><p>4. Quantos bytes existem no cabeçalho IP?</p><p>5. Quantos bytes existem na carga útil do datagrama IP ? Explique como você</p><p>determinou o número de bytes de carga útil.</p><p>6. Este datagrama IP foi fragmentado? Explique como você determinou se o</p><p>datagrama foi ou não fragmentado.</p><p>A seguir, vejamos a sequência de segmentos UDP enviados do seu computador via</p><p>traceroute , destinados a 128.119.245.12. O filtro de exibição que você pode inserir</p><p>para fazer isso é “ip.src==192.168.86.61 e ip.dst==128.119.245.12 e udp e !icmp”. Isso</p><p>permitirá que você se mova sequencialmente facilmente apenas pelos datagramas que</p><p>contêm apenas esses segmentos. Sua tela deverá ser semelhante à Figura 3.</p><p>Figura 3: Captura de tela do Wireshark, mostrando segmentos no tracefile ip-wireshark-trace1-</p><p>1.pcapng usando o filtro de exibição ip.src==192.168.86.61 e</p><p>ip.dst==128.119.245.12 e udp e !icmp</p><p>7. Quais campos do datagrama IP sempre mudam de um datagrama para outro</p><p>dentro desta série de segmentos UDP enviados pelo seu computador com destino</p><p>a 128.119.245.12, via traceroute ? Por que?</p><p>8. Quais campos nesta sequência de datagramas IP (contendo segmentos UDP)</p><p>permanecem constantes? Por que?</p><p>9. Descreva o padrão que você vê nos valores do campo Identificação dos</p><p>datagramas IP enviados pelo seu computador.</p><p>Agora vamos dar uma olhada nos pacotes ICMP retornados ao seu computador pelos</p><p>roteadores intermediários, onde o valor TTL foi diminuído para zero (e, portanto, fez com</p><p>que a mensagem de erro ICMP fosse retornada ao seu computador). O filtro de exibição</p><p>que você pode usar para mostrar apenas esses pacotes é “ip.dst==192.168.86.61 e icmp”.</p><p>10. Qual é o protocolo da camada superior especificado nos datagramas IP retornados</p><p>dos roteadores? [Nota: as respostas para Linux/MacOS diferem do Windows</p><p>aqui].</p><p>11. Os valores nos campos de identificação (na sequência de todos os pacotes ICMP</p><p>de todos os roteadores) são semelhantes em comportamento à sua resposta à</p><p>pergunta 9 acima?</p><p>12. Os valores dos campos TTL são semelhantes em todos os pacotes ICMP de todos</p><p>os roteadores?</p><p>Parte 2: Fragmentação</p><p>Nesta seção, veremos um grande segmento UDP (3.000 bytes) enviado pelo programa</p><p>traceroute que é fragmentado em vários datagramas IP. Recomendamos que você</p><p>consulte primeiro o material sobre fragmentação de IP da 7ª edição do nosso livro (e</p><p>anteriores) em</p><p>http://gaia.cs.umass.edu/kurose_ross/Kurose_Ross_7th_edition_section_4.3.2.pdf</p><p>Classifique a listagem de pacotes da Parte 1, com todos os filtros de exibição limpos, de</p><p>acordo com o tempo, clicando na coluna Tempo .</p><p>13. Encontre o primeiro datagrama IP contendo a primeira parte do segmento enviado</p><p>para 128.119.245.12 enviado pelo seu computador através do comando</p><p>traceroute para gaia.cs.umass.edu, depois de especificar que o comprimento</p><p>do pacote traceroute deve ser 3000. (Dica: Este é o pacote 179 no ip-</p><p>wireshark-trace1-1.pcapng arquivo de rastreamento na nota de rodapé 2. Os pacotes</p><p>179, 180 e 181 são três datagramas IP criados pela fragmentação do primeiro</p><p>segmento UDP único de 3.000 bytes enviado para 128.119.145.12). Esse</p><p>segmento foi fragmentado em mais de um datagrama IP? (Dica: a resposta é sim</p><p>4!)</p><p>14. Que informações no cabeçalho IP indicam que este datagrama foi fragmentado?</p><p>15. Que informações no cabeçalho IP deste pacote indicam se este é o primeiro</p><p>fragmento versus um último fragmento?</p><p>16. Quantos bytes existem neste datagrama IP (cabeçalho mais carga útil)?</p><p>17. Agora inspecione o datagrama que contém o segundo fragmento do segmento</p><p>UDP fragmentado. Que informações no cabeçalho IP indicam que este não é o</p><p>primeiro fragmento do datagrama?</p><p>18. Quais campos mudam no cabeçalho IP entre o primeiro e o segundo fragmento?</p><p>19. Agora encontre o datagrama IP que contém o terceiro fragmento do segmento</p><p>UDP original. Que informações no cabeçalho IP indicam que este é o último</p><p>fragmento desse segmento?</p><p>Parte 3: IPv6</p><p>Nesta seção final daremos uma rápida olhada no datagrama IPv6 usando o Wireshark.</p><p>Você provavelmente desejará revisar a seção 4.3.4 do texto. Como a Internet ainda</p><p>funciona principalmente em redes IPv4 (consulte a seção 4.3.4), e seu próprio</p><p>computador ou ISP pode não estar configurado para IPv6, vejamos um rastreamento de</p><p>pacotes já capturados que contêm alguns pacotes IPv6. Para gerar esse rastreamento,</p><p>nosso navegador abriu a página inicial do youtube.com. O Youtube (e o Google)</p><p>fornecem suporte bastante difundido para IPv6.</p><p>4Observação: se você descobrir que seu pacote não foi fragmentado, baixe o arquivo zip na nota de rodapé</p><p>2 e extraia o arquivo de rastreamento ip-wireshark-trace1-1.pcapng . Se o seu computador tiver uma</p><p>interface Ethernet ou WiFi, um tamanho de pacote de 3.000 deverá causar fragmentação.</p><p>http://gaia.cs.umass.edu/kurose_ross/Kurose_Ross_7th_edition_section_4.3.2.pdf</p><p>Abra o arquivo ip-wireshark-trace2-1.pcapng no arquivo .zip de rastreamentos fornecido na nota</p><p>de rodapé 2. A tela do Wireshark deve ser semelhante à Figura 4.</p><p>Figura 4: Captura de tela do Wireshark, mostrando o primeiro conjunto de pacotes capturados</p><p>em ip-wireshark-trace2-1.pcapng . Se você olhar a coluna Fonte, verá alguns endereços IPv6!</p><p>Vamos começar examinando mais de perto o 20º pacote neste rastreamento, enviado em t=</p><p>3,814489. Esta é uma solicitação DNS (contida em um datagrama IPv6) para um servidor</p><p>DNS IPv6 para o endereço IPv6 de youtube.com. O tipo de solicitação DNS AAAA é</p><p>usado para resolver nomes para endereços IP IPv6.</p><p>Responda às seguintes perguntas:</p><p>20. Qual é o endereço IPv6 do computador que faz a solicitação DNS AAAA? Este é</p><p>o endereço de origem do 20º pacote no rastreamento. Forneça o endereço de origem</p><p>IPv6 para este datagrama exatamente da mesma forma exibida na janela do</p><p>Wireshark 5.</p><p>21. Qual é o endereço de destino IPv6 para este datagrama? Forneça esse endereço</p><p>IPv6 exatamente da mesma forma exibida na janela do Wireshark.</p><p>22. Qual é o valor do rótulo de fluxo para este datagrama?</p><p>23. Quantos dados de carga útil são transportados neste datagrama?</p><p>24. Qual é o protocolo da camada superior ao qual a carga útil deste datagrama será</p><p>entregue no destino?</p><p>Por último, encontre a resposta do DNS IPv6 à solicitação AAAA do DNS IPv6 feita no</p><p>20º pacote deste rastreamento. Esta resposta DNS contém endereços IPv6 para youtube.com.</p><p>25. Quantos endereços IPv6 são retornados na resposta a esta solicitação AAAA?</p><p>5Lembre-se de que um endereço IPv6 é mostrado como 8 conjuntos de 4 dígitos hexadecimais, com cada</p><p>conjunto separado por dois pontos e com zeros à esquerda omitidos. Se um endereço IPv6 tiver dois dois</p><p>pontos consecutivos ('::'), isso é uma abreviação, o que significa que todos os bytes intermediários entre os</p><p>dois dois pontos são zero. Assim, por exemplo, fe80::1085:6434:583:e79 é uma abreviação de</p><p>fe80:0000:0000:0000:1085:6434:0583:0e79. Certifique-se de entender este exemplo.</p><p>26. Qual é o primeiro dos endereços IPv6</p><p>retornados pelo DNS para youtube.com (no</p><p>arquivo de rastreamento ip-wireshark-trace2-1.pcapng , esse também é o</p><p>endereço numericamente menor) ? Forneça esse endereço IPv6 exatamente na</p><p>mesma forma abreviada exibida na janela do Wireshark.</p>