Γιατί αργεί ένα site; Ποια συσκευή στο σπίτι «τρώει» όλο το εύρος ζώνης; Τι στέλνει στο διαδίκτυο μια «έξυπνη» λάμπα; Σε όλα αυτά απαντά το Wireshark, ο πιο διαδεδομένος αναλυτής πρωτοκόλλων δικτύου στον κόσμο. Είναι δωρεάν, ανοιχτού κώδικα, και λειτουργεί σε Windows, Linux και macOS.
Ο οδηγός καλύπτει την τρέχουσα σειρά Wireshark 4.6.x: από την εγκατάσταση και την πρώτη καταγραφή, μέχρι τα φίλτρα, τα στατιστικά, την ανάλυση προβλημάτων και την αποκρυπτογράφηση της δικής σας κίνησης HTTPS.
Εγκατάσταση
Windows
Κατεβάστε το πρόγραμμα εγκατάστασης από το wireshark.org/download και ακολουθήστε τα βήματα. Στη διάρκεια της εγκατάστασης θα προτείνουμε το Npcap, το πρόγραμμα οδήγησης που επιτρέπει την καταγραφή πακέτων. Αφήστε το επιλεγμένο: χωρίς αυτό, το Wireshark ανοίγει μόνο αποθηκευμένα αρχεία.
Linux (Ubuntu, Debian, Mint)
sudo apt install wiresharkΌταν ερωτηθείτε αν οι απλοί χρήστες μπορούν να καταγράφουν πακέτα, απαντήστε Yes. Μετά προσθέστε τον λογαριασμό σας στην ομάδα wireshark και αποσυνδεθείτε και συνδεθείτε ξανά, ώστε να μη χρειάζεται να τρέχετε το Wireshark ως root:
sudo usermod -aG wireshark $USERmacOS
Εγκαταστήστε το αρχείο .dmg από την επίσημη σελίδα, μαζί με το ChmodBPF που περιλαμβάνεται, ώστε να επιτρέπεται η καταγραφή χωρίς δικαιώματα διαχειριστή.
Η πρώτη καταγραφή
1. Ανοίξτε το Wireshark. Στην αρχική οθόνη βλέπετε τις κάρτες δικτύου σας, η καθεμία με ένα μικρό γράφημα δραστηριότητας.
2. Κάντε διπλό κλικ στην κάρτα που έχει κίνηση (συνήθως Wi-Fi ή Ethernet). Η καταγραφή ξεκινά αμέσως.
3. Ανοίξτε ένα site στον browser για να δημιουργήσετε κίνηση, και μετά σταματήστε την καταγραφή με το κόκκινο τετράγωνο στη γραμμή εργαλείων.
4. Αποθηκεύστε με File → Save As, σε μορφή .pcapng, για να την αναλύσετε αργότερα ή να τη στείλετε σε κάποιον που βοηθά.
Η αρχική οθόνη: επιλέγετε την κάρτα δικτύου που έχει κίνηση
Το παράθυρο του Wireshark
Το κεντρικό παράθυρο χωρίζεται σε τρία τμήματα:
- Λίστα πακέτων: ένα πακέτο ανά γραμμή, με αριθμό, χρόνο, αποστολέα (Source), παραλήπτη (Destination), πρωτόκολλο και μια σύντομη περιγραφή (Info).
- Λεπτομέρειες: το επιλεγμένο πακέτο ανά επίπεδο (Ethernet, IP, TCP/UDP, εφαρμογή). Ανοίγετε κάθε επίπεδο με το βελάκι.
- Bytes: το ίδιο πακέτο σε δεκαεξαδική μορφή, όπως ακριβώς ταξίδεψε στο καλώδιο.
Τα τρία τμήματα του κεντρικού παραθύρου
Τα χρώματα έχουν σημασία: με τις προεπιλεγμένες ρυθμίσεις, το TCP εμφανίζεται με ανοιχτό μοβ, το UDP (π.χ. DNS) με γαλάζιο και το HTTP με ανοιχτό πράσινο, ενώ οι γραμμές με μαύρο φόντο και κόκκινα γράμματα δείχνουν προβλήματα, όπως επαναμεταδόσεις TCP. Αν βλέπετε πολλές τέτοιες, κάτι δεν πάει καλά στη σύνδεση.
Φίλτρα εμφάνισης: το πιο χρήσιμο εργαλείο
Μια καταγραφή λίγων λεπτών περιέχει δεκάδες χιλιάδες πακέτα. Τα φίλτρα εμφάνισης (display filters) κρατούν στην οθόνη μόνο όσα σας ενδιαφέρουν, χωρίς να διαγράφουν τα υπόλοιπα. Γράφετε το φίλτρο στη γραμμή πάνω από τη λίστα και πατάτε Enter: η γραμμή γίνεται πράσινη όταν το φίλτρο είναι σωστό και κόκκινη όταν έχει λάθος.
Η γραμμή φίλτρων: πράσινη για έγκυρο φίλτρο, κόκκινη για λάθος
| Φίλτρο | Τι εμφανίζει |
| ip.addr == 192.168.1.10 | Όλη την κίνηση από και προς μία συσκευή |
| tcp.port == 443 | Κίνηση HTTPS |
| dns | Μόνο ερωτήματα και απαντήσεις DNS |
| dns.time > 0.5 | Απαντήσεις DNS που άργησαν πάνω από μισό δευτερόλεπτο |
| http.request | Αιτήματα HTTP (μη κρυπτογραφημένα) |
| tls.handshake.type == 1 | Τις αρχικές συνδέσεις TLS: στο Client Hello φαίνεται το όνομα του site (SNI) |
| tcp.analysis.flags | Όλα τα προβλήματα TCP: επαναμεταδόσεις, διπλές επιβεβαιώσεις, μηδενικά παράθυρα |
| !(arp or dns or icmp) | Τα πάντα εκτός από τον «θόρυβο» του δικτύου |
| frame contains “iguru” | Πακέτα που περιέχουν το κείμενο «iguru» |
Συμβουλή: δεν χρειάζεται να θυμάστε τα ονόματα των πεδίων. Στις λεπτομέρειες ενός πακέτου, κάντε δεξί κλικ σε οποιοδήποτε πεδίο και επιλέξτε Apply as Filter → Selected: και το Wireshark γράφει το φίλτρο για εσάς.
Φίλτρα καταγραφής
Τα φίλτρα καταγραφής (capture filters) είναι κάτι διαφορετικό: εφαρμόζονται πριν την καταγραφή, οπότε ό,τι αποκλείουν δεν αποθηκεύεται καθόλου. Χρησιμοποιούν άλλη σύνταξη (BPF) και τα γράφετε στο πεδίο της αρχικής οθόνης. Είναι χρήσιμα για πολύωρες καταγραφές, όπου θέλετε μικρά αρχεία.
| Φίλτρο καταγραφής | Τι καταγράφει |
| host 192.168.1.10 | Μόνο την κίνηση μίας συσκευής |
| port 53 | Μόνο DNS |
| net 192.168.1.0/24 | Μόνο κίνηση του τοπικού δικτύου |
| not port 443 | Τα πάντα εκτός από HTTPS |
Follow Stream: ολόκληρη η «συζήτηση»
Μια σύνδεση αποτελείται από δεκάδες πακέτα. Για να τη δείτε σαν ενιαία συνομιλία, κάντε δεξί κλικ σε ένα πακέτο της και επιλέξτε Follow → TCP Stream. Με κόκκινο εμφανίζεται ό,τι στέλνει ο υπολογιστής σας και με μπλε η απάντηση.
Follow TCP Stream σε μια μη κρυπτογραφημένη σύνδεση HTTP
Στις συνδέσεις HTTP διαβάζετε τα πάντα, κάτι που δείχνει παραστατικά γιατί δεν πρέπει να δίνετε κωδικούς σε σελίδες χωρίς HTTPS. Οι συνδέσεις HTTPS εμφανίζονται κρυπτογραφημένες· δείτε παρακάτω πώς αποκρυπτογραφείτε τη δική σας κίνηση.
Στατιστικά: η μεγάλη εικόνα
- Statistics → Conversations: όλες οι «συνομιλίες» ανάμεσα σε διευθύνσεις. Ταξινομήστε κατά Bytes και βλέπετε αμέσως ποια συσκευή και ποιος διακομιστής καταναλώνουν το εύρος ζώνης.
- Statistics → Protocol Hierarchy: τι ποσοστό της κίνησης είναι HTTPS, DNS, βίντεο και άλλα πρωτόκολλα.
- Statistics → I/O Graphs: η κίνηση στον χρόνο, ιδανικό για να εντοπίσετε «κόλλημα» ή ξαφνικές αιχμές.
- Analyze → Expert Information: το Wireshark συγκεντρώνει μόνο του τις προειδοποιήσεις και τα σφάλματα της καταγραφής.
Statistics → Conversations ταξινομημένο κατά Bytes
Πρακτικά παραδείγματα
Γιατί αργεί ένα site;
1. Ξεκινήστε καταγραφή, ανοίξτε το site και σταματήστε μόλις φορτώσει.
2. Φίλτρο dns.time > 0.5: αν εμφανιστούν πακέτα, φταίει ο διακομιστής DNS. Δοκιμάστε άλλον, π.χ. 1.1.1.1 ή 9.9.9.9.
3. Φίλτρο tcp.analysis.flags: πολλές επαναμεταδόσεις σημαίνουν απώλειες στη γραμμή ή στο Wi-Fi, όχι πρόβλημα του site.
Ποια συσκευή στο σπίτι σπαταλά εύρος ζώνης;
Καταγράψτε για λίγα λεπτά και ανοίξτε Statistics → Conversations → IPv4, ταξινομημένο κατά Bytes. Η πρώτη γραμμή είναι ο “ένοχος”. Προσοχή: σε Wi-Fi βλέπετε κυρίως την κίνηση του δικού σας υπολογιστή· για όλο το δίκτυο χρειάζεται καταγραφή στον router ή σε θύρα mirror ενός switch.
Αποκρυπτογράφηση της δικής σας κίνησης HTTPS
Οι Chrome, Edge και Firefox μπορούν να αποθηκεύουν τα κλειδιά των συνδέσεων TLS σε ένα αρχείο, το οποίο διαβάζει το Wireshark για να αποκρυπτογραφήσει τη δική σας κίνηση. Ιδανικό για προγραμματιστές και για εκμάθηση.
1. Ορίστε τη μεταβλητή περιβάλλοντος (Γραμμή εντολών των Windows):
setx SSLKEYLOGFILE "%USERPROFILE%\sslkeys.log"2. Κλείστε εντελώς τον browser και ανοίξτε τον ξανά, ώστε να διαβάσει τη ρύθμιση.
3. Στο Wireshark: Edit → Preferences → Protocols → TLS → (Pre)-Master-Secret log filename και επιλέξτε το αρχείο sslkeys.log.
Η ρύθμιση του αρχείου κλειδιών στις προτιμήσεις TLS του Wireshark.
Ασφάλεια: το αρχείο κλειδιών αποκρυπτογραφεί όλες τις συνδέσεις του browser σας. Όταν τελειώσετε, διαγράψτε το και αφαιρέστε τη ρύθμιση με την εντολή reg delete HKCU\Environment /v SSLKEYLOGFILE /f.
Για προχωρημένους: tshark και dumpcap
Μαζί με το Wireshark εγκαθίστανται και εργαλεία γραμμής εντολών, ιδανικά για διακομιστές χωρίς γραφικό περιβάλλον και για αυτοματισμούς:
tshark -i 1 -f "port 53" -w dns.pcapngΚαταγράφει μόνο DNS από την κάρτα 1 (τις κάρτες τις βλέπετε με tshark -D).
tshark -r dns.pcapng -Y "dns.flags.response == 0" -T fields -e dns.qry.nameΑπό ένα αποθηκευμένο αρχείο, εμφανίζει μόνο τα ονόματα που ζητήθηκαν, ένα ανά γραμμή.
dumpcap -i 1 -b filesize:100000 -b files:10 -w capture.pcapngΚαταγραφή “δακτυλίου” για πολύωρη παρακολούθηση: 10 αρχεία των περίπου 100 MB, όπου το παλαιότερο αντικαθίσταται, ώστε να μη γεμίσει ποτέ ο δίσκος.
Χρήσιμες συμβουλές
- Καταγράφετε όσο χρειάζεται: λίγα λεπτά καταγραφής είναι συνήθως αρκετά, και τα μικρά αρχεία αναλύονται πολύ πιο εύκολα.
- Ώρα που διαβάζεται: από το View → Time Display Format επιλέξτε «Time of Day», για να βλέπετε την πραγματική ώρα κάθε πακέτου.
- Ιδιωτικότητα: μια καταγραφή μπορεί να περιέχει ευαίσθητα δεδομένα. Μη δημοσιεύετε αρχεία .pcapng χωρίς να τα έχετε ελέγξει.
- Ενημερώσεις: το Wireshark διαβάζει δεδομένα από το δίκτυο, οπότε κρατάτε πάντα την τελευταία έκδοση· κάθε ενημέρωση διορθώνει ευπάθειες.
0 σχόλια
iGuRu.gr