Курс за обучение по Анализ на TCP/IP мрежови трафик с Wireshark

Преглед на мрежовия анализ

1. Референтен модел OSI и основни принципи на TCP/IP мрежите.
2. Инструменти и методологии за отстраняване на проблеми.
3. Въведение в Wireshark
4. Какво е Wireshark? Преносим Wireshark. Ресурси.
5. Структура на GUI на Wireshark: Панели (списък с пакети, детайли, байтове на пакета), лента на състоянието, ... .
6. Архитектура и поток на обработка. Какво и защо не може да се види с Wireshark?
7. Поддържани протоколи. Дисектори.
8. Предпочитания и конфигурации; глобални и специфични за профила.
9. Времеви стойности.
10. Лабораторни упражнения.

Улавяне на трафик

1. Неща, които трябва да се обмислят преди началото.
2. Режим на наблюдение (Promiscuous mode).
3. Филтри за улавяне.
4. Критерии за автоматично спиране.
5. Дистанционно улавяне.
6. Лабораторни упражнения.

Анализ на трафика: инструменти и подходи

1. Контролен списък за анализ.
2. Използване на функции: разрешаване на имена, оцветяване, маркиране, игнориране, коментиране, използване на времеви референции, времеви отмествания и др.
3. Разбиране на експертната система.
4. Достъп до опции чрез функционалността с десен бутон.
5. Интерпретация (референтни модели), влияние на функциите за офлоуд на ОС/драйвери.
6. Запазване на резултатите.
7. Лабораторни упражнения и казуси.

Анализ на трафика: инструменти и подходи (продължение)

1. Филтриране на трафика: Филтри за показване (подготовка на филтри „в движение“, макроси), проследяване на поток.
2. Количествен анализ.
   1. Основни предварително дефинирани описателни статистики и обобщения: Свойства на улавянето, йерархия на протоколите, разговори, крайни точки, дължини на пакетите, IP-специфични.
   2. Анализ, специфичен за протокола (напр.: TCP графики на потоци).
   3. Разширени персонализирани статистики с I/O графика.
   4. Визуализация на потоци.

Анализ на трафика: протоколи

1. Канален слой: Ethernet II.
2. Мрежов слой: IPv4.
3. Транспортен слой: TCP, UDP.
   1. Загуба на пакети и възстановяване.
   2. Събития за изгубен предишен сегмент и сегменти извън ред.
   3. Дублирани ACK и бързи повторни предавания.
   4. TCP повторни предавания.
   5. Нулев прозорец, промени в прозореца и други проблеми с прозореца.
4. Приложен слой: HTTP, FTP.
5. Лабораторни упражнения и казуси.

Анализ на трафика: често срещани проблеми при оценката на мрежовата производителност

1. Причини за проблеми с производителността.
2. Загуба на пакети.
3. Проблеми с честотната лента. Слоист подход към измерването.
4. Латентност: оценка на латентността от край до край, визуализация.
5. Лабораторни упражнения.
6. Инструменти на командния ред (Wireshark):
   1. tshark (терминално базиран wireshark) / dumpcap / rawshark, tcpdump
   2. editcap, mergecap, capinfos, text2pcap.

Разширени теми

1. Разширени филтри, групирани iostats.
2. Обобщение и въпроси и отговори.