¿Cómo capturar paquetes en WireShark?

Wireshark es una herramienta de análisis de red invaluable que traduce los datos que pasan a través de sus redes a un formato legible por humanos. Puede solucionar problemas de red o de seguridad, depurar la implementación de un protocolo o simplemente monitorear el tráfico capturando paquetes con Wireshark.

Observe de cerca lo que sucede en su red y recopile exactamente la información que necesita. Aquí se explica cómo capturar diferentes tipos de paquetes en Wireshark.

Cómo capturar paquetes

Iniciar el proceso de captura en Wireshark solo requiere unos pocos clics. Todo lo que tiene que hacer es iniciar el modo de captura y los datos comenzarán a ingresar sin filtrar. Si bien este modo sin filtrar es excelente cuando necesita una cuenta completa de lo que está sucediendo, la cantidad de datos recopilados de esta manera puede ser abrumadora. Para hacerlo más manejable, puede usar filtros y recopilar solo un cierto tipo de datos. A continuación encontrará instrucciones para ello.

Por ahora, veamos cómo comenzar a capturar todos los paquetes en Wireshark:

• Asegúrese de tener instalada la última versión de Wireshark. Puede descargar el programa de forma gratuita desde el sitio web oficial de Wireshark.

• Ejecuta el programa. Será recibido con una pantalla de bienvenida con una lista de redes descubiertas.

• Comience a capturar paquetes de una de las siguientes maneras:
  • Haga doble clic en la red seleccionada en la lista.
  • Seleccione una o más interfaces de red, luego haga clic en el icono de aleta de tiburón en la barra de herramientas o «Capturar» y luego «Iniciar» en la barra de menú.

Nota. Puede configurar las opciones de captura, como el modo promiscuo, antes de comenzar haciendo clic en Capturar y luego en Opciones.

Tan pronto como presione la interfaz de red o el botón de inicio, será llevado a la pantalla de captura. Verás como Wireshark captura los paquetes de datos en tiempo real. Una vez que esté satisfecho con la cantidad de datos recopilados, puede detener la captura haciendo clic en el botón rojo de detener en la barra de herramientas superior. Comience a analizar sus datos ahora o guárdelos para más tarde haciendo clic en «Archivo» y luego en «Guardar como…» en la barra de menú.

Cómo capturar paquetes UDP

Seguir los pasos anteriores le indicará al programa que capture todos los paquetes. Si bien los diferentes tipos de tráfico se distinguen fácilmente en Wireshark gracias a la codificación de colores, todavía tiene que filtrar una gran cantidad de datos. Si solo está buscando información sobre ciertos paquetes, puede usar filtros para facilitar su trabajo.

Wireshark admite filtros de captura y visualización. El uso de un filtro de captura significará que el programa solo captura los paquetes que defina. Los filtros de visualización simplemente filtran los paquetes que ya han sido capturados. Los dos filtros funcionan de manera diferente y usan comandos diferentes, por lo que debe decidir cuál se adapta mejor a sus necesidades.

Si solo desea capturar tráfico UDP, use un filtro de captura antes de iniciar el proceso de captura.

• Inicie Wireshark.

• Localice el panel de filtro de captura en la pantalla de bienvenida. Es el que está justo encima de tu lista de redes.

• Escriba «udp» en el campo «Filtro de captura» y presione Entrar para comenzar a capturar el tráfico UDP. También puede agregar un puerto específico después de «udp» si desea especificar más su filtro.

Consejo. Otra forma de configurar los filtros de captura es hacer clic en «Capturar» y luego en «Opciones» en el menú. El panel de filtro estará en la parte inferior de la interfaz de captura.

Wireshark Cómo capturar paquetes DHCP

Para capturar paquetes DHCP exclusivamente, debe ingresar el número de puerto apropiado en el filtro de captura. Utilice el filtro de captura «puerto 67» o «puerto 68» o una combinación de los dos «puerto 67 o puerto 68» para capturar paquetes DHCP.

De manera similar, un filtro de visualización puede filtrar paquetes DHCP en la pantalla de captura. Sin embargo, tenga en cuenta que los filtros de visualización utilizan una sintaxis diferente a la de los filtros de captura. Deberá ingresar «udp.port == 68» en la línea de filtro de visualización.

Cómo capturar paquetes de ping

La mejor manera de capturar paquetes de ping (también conocido como tráfico de eco del Protocolo de mensajes de control de Internet (ICMP)) en Wireshark es usar un filtro de visualización en el modo de captura. Aquí está el proceso.

• Abra Wireshark e inicie el proceso de captura como se describe anteriormente.

• Abra un símbolo del sistema y haga ping a la dirección de su elección.

• Regrese a Wireshark y detenga el proceso de captura.

• Cree un filtro de ping escribiendo «icmp» en la línea de filtro de visualización y luego presionando Enter.

Verá tanto las solicitudes como las respuestas de ping en la lista de paquetes.

Wireshark Cómo capturar paquetes de una dirección IP específica

Si desea enfocar la captura en una dirección IP específica, ingrese el siguiente filtro de captura antes de iniciar la captura: «host [dirección IP que desea capturar]». Por ejemplo, para capturar paquetes asociados con la dirección IP 111.11.1.1, necesitaría el filtro «host 111.11.1.1» en el panel Capturar filtros.

También puede especificar si desea capturar el tráfico hacia o desde una dirección IP específica agregando «src» para el origen o «dst» para el destino al principio en lugar de «host:»

• ingrese «src 111.11.1.1» para los paquetes provenientes de la dirección IP en cuestión
• ingrese «dst 111.11.1.1» para los paquetes enviados a la dirección IP en cuestión

Naturalmente, puede combinar estos filtros para especificar el tráfico que desea capturar a continuación. Conecte los dos filtros con «y» para mover paquetes entre las dos direcciones IP que especifique. Por ejemplo, «src 111.11.1.1 y dst 222.22.2.2» solo capturarán paquetes enviados desde 111.11.1.1 a 222.22.2.2.

Utilice filtros de visualización para filtrar paquetes asociados con una dirección IP específica en un conjunto de datos ya capturado. Para la dirección IP anterior, ingrese «ip.addr == 111.11.1.1» en la línea de filtro de visualización, y así sucesivamente.

Preguntas frecuentes

¿Cómo capturar paquetes de enrutador en Wireshark?

Solo puede capturar paquetes de enrutador con Wireshark si su enrutador admite la duplicación de puertos. Primero, debe reflejar el tráfico en el puerto LAN. El proceso puede variar dependiendo de su dispositivo.

1. Vaya a la sección LAN y luego al espejo del puerto LAN.

2. Habilite la duplicación de puertos.

3. Configure los puntos de inicio y finalización.

Si puede duplicar su tráfico de esta manera, debería poder capturar los paquetes del enrutador normalmente en el modo de captura de Wireshark.

¿Por qué no puedo capturar paquetes en Wireshark?

Si su Wireshark no está capturando paquetes, considere las siguientes opciones de solución de problemas:

• Asegúrese de no tener activados filtros de captura demasiado específicos.

• Busque actualizaciones de Wireshark en el menú Ayuda.

• Asegúrese de que el cortafuegos no esté bloqueando su aplicación Wireshark.

Si ninguno de los factores anteriores se aplica a usted, lo más probable es que el problema esté relacionado con su hardware.

Tengo que hacerse cargo de todo

La captura de paquetes con Wireshark requiere solo unos pocos clics. Esta será probablemente la parte más fácil de su tarea de solución de problemas. Capture todo el tráfico y filtre los paquetes más tarde, o use filtros de captura para capturar solo un tipo específico de datos.

¿Pudiste capturar los paquetes correctos con estos consejos? ¿Qué filtros de captura de Wireshark encuentra más útiles? Háganos saber en los comentarios a continuación.