Wie kann man in Wireshark einen bestimmten Port überwachen?
- Einleitung
- Filtern nach bestimmten Ports in Wireshark
- Capture-Filter für einen bestimmten Port
- Anzeigefilter für einen bestimmten Port
- Weitere Hinweise
Einleitung
Wireshark ist ein weit verbreitetes Tool zur Netzwerkprotokollanalyse, das es ermöglicht, den Datenverkehr in einem Netzwerk detailliert zu beobachten und zu analysieren. Oft möchte man jedoch nicht den gesamten Netzwerkverkehr mitschneiden und auswerten, sondern nur den Datenverkehr eines bestimmten Ports überwachen. Dies ist zum Beispiel nützlich, wenn man gezielt die Kommunikation einer bestimmten Anwendung oder eines Dienstes beobachten möchte, der über einen definierten Port läuft.
Filtern nach bestimmten Ports in Wireshark
Um in Wireshark Datenpakete zu überwachen, die über einen bestimmten Port laufen, kann man sogenannte Filter verwenden. Diese Filter helfen dabei, die Ansicht auf nur die relevanten Pakete einzuschränken und somit die Analyse zu erleichtern. Man unterscheidet dabei zwischen einem Capture-Filter und einem Anzeigefilter:
Ein Capture-Filter wird bereits beim Mitschnitt des Datenverkehrs angewendet. Hierbei werden nur Pakete, die den Filterbedingungen entsprechen, aufgezeichnet. Dies spart Speicherplatz und Ressourcen. Ein Anzeigefilter wird hingegen auf bereits aufgezeichnete Daten angewandt und dient dazu, in der vorhandenen Aufzeichnung nur bestimmte Pakete anzuzeigen.
Capture-Filter für einen bestimmten Port
Wenn man während des Mitschnitts nur Pakete eines bestimmten Ports erfassen möchte, setzt man einen Capture-Filter. Zum Beispiel möchte man Pakete auf dem TCP-Port 80 überwachen, so lautet der entsprechende Filter:
tcp port 80
Dieser Filter erfasst nur TCP-Pakete, die entweder von oder zu Port 80 auf dem Gerät laufen. Man kann in Wireshark den Capture-Filter im oberen Bereich im Eingabefeld Capture Filter vor dem Start des Mitschnitts eingeben.
Anzeigefilter für einen bestimmten Port
Hat man bereits eine größere Mitschnittdatei und möchte nur die Pakete filtern, die an einem bestimmten Port beteiligt sind, verwendet man einen Anzeigefilter. Der Anzeigefilter für TCP-Port 80 lautet:
tcp.port == 80
Oder, wenn sowohl TCP- als auch UDP-Daten betrachtet werden sollen, kann man die Filter erweitern zu:
tcp.port == 80 || udp.port == 80
Diese Filter kann man einfach oben in das Anzeigefilter-Feld eingeben, um die Ansicht auf die gewünschten Pakete einzuschränken. Das sorgt für eine schnellere und gezieltere Analyse.
Weitere Hinweise
Es ist wichtig zu wissen, dass der Portfilter immer auf den Transportprotokoll-Ports basiert, also TCP oder UDP. Man sollte daher beachten, welches Protokoll der überwachte Dienst nutzt. Zudem kann man auch gezielt Quell- oder Zielports filtern, indem man differenziert tcp.srcport oder tcp.dstport verwendet, falls man nur den eingehenden oder ausgehenden Traffic analysieren möchte.
Zusammenfassend ermöglicht Wireshark durch seine flexiblen Filterfunktionen eine sehr präzise Überwachung von Netzwerkverkehr über bestimmte Ports, was die Fehlersuche und Analyse im Netzwerk deutlich erleichtert.