heise+ | Protokollanalysen mit dem Capture-Tool Wireshark durchführen

Netzwerkprobleme äußern sich selten eindeutig. Ein Supportticket wegen langsamer Internetverbindung kann auf DNS-Time-outs, TCP-Retransmissions oder auch einen überlasteten Proxy hinweisen. Der zweite Teil des Wireshark-Tutorials erklärt die systematische Protokollanalyse: Probleme mit Netzwerkprotokollen aufspüren, DNS-Fehler eingrenzen, verschlüsselten Verkehr sichtbar machen und mit Wiresharks Statistikwerkzeugen Engpässe lokalisieren.

• Wireshark ist der Standard unter den Capture-Tools – man braucht aber auch ein gutes Gespür für Protokolle, die im Netzadmin-Alltag die meisten Probleme verursachen.
• Aufgezeichneten Netzverkehr muss man zielgerichtet interpretieren, wobei Wireshark mit Statistiken und Visualisierung hilft.
• Der zweite Teil des Tutorials erklärt die systematische Protokollanalyse und den Umgang mit verschlüsseltem TLS-Traffic.

Im ersten Teil ging es um das effiziente Arbeiten mit Wireshark: fortgeschrittene Filtertechniken, angepasste Profile und die Kommandozeilenwerkzeuge. Diese Kenntnisse kommen jetzt für die Protokollanalyse zum Einsatz, das Kerngeschäft der Netzwerkdiagnose. Als Beispiel dient wieder das Netz der fiktiven Kontor 12 GmbH, das in Teil eins des Tutorials mit Netzsegmenten und Systemen aufgebaut wurde. Dort häufen sich Beschwerden über langsame Verbindungen: Mal lädt das Shopportal auf web01 nur zäh, mal hängt eine Anfrage an das API-Backend api01. Der Verdacht fällt abwechselnd auf das Netz, den internen Resolver dns01 und die Server selbst.

Der Schwerpunkt liegt auf den Protokollen, die im IT-Alltag die meisten Probleme verursachen: TCP als Transportschicht, DNS als Grundlage jeder Namensauflösung und TLS als allgegenwärtige Verschlüsselungsschicht. Dazu kommen die Anwendungsprotokolle HTTP/2 und HTTP/3 (das auf UDP setzt) sowie die Statistik- und Visualisierungsfunktionen, die Wireshark für die Übersichtsanalyse bietet.