Wireshark / Tshark. Packet size limited during capture. Truncado de paquetes.

Una de las opciones que podemos aplicar a nuestras capturas es el truncado de paquetes. En windump/tcpdump, veíamos que, con la opción -s (snaplen), podíamos limitar la captura del tráfico a una determinada cantidad de bytes. Pues bien, lo mismo podemos hacer con Wireshark y Tshark, todo ello con objeto, por ejemplo, de visualizar solo ciertas partes de un paquete.

En Capture > Options, tenemos la opción Limit each packet n bytes.

En n indicamos la cantidad de bytes a limitar en la captura de paquetes.

¿ Qué conseguimos con esto ?. Pues limitar el paquete para ver solo:

• 14 bytes: Capa Ethernet.
• 34 bytes: Cabecera IP.
• 54 bytes: Cabecera TCP. 42 bytes para Cabecera datagrama UDP.
• x   bytes: Zona de datos u otros protocolos encapsulados.

Lo vemos con un ejemplo.

• Capa Ethernet. Marcada con azul. Si contamos los bytes, tenemos exactamente 14.
• Cabecera IP. Marcada con rojo. Contamos y tenemos 20 bytes, que sumados a los 14 de la Capa Ethernet, tenemos 34 bytes.
• Cabecera TCP. Zona marcada en amarillo. Contamos y  tenemos 20 bytes, se sumados a los 34 anteriores, nos da 54 bytes.

Es decir, que si establecemos el límite a 54 bytes, Wireshark solo visualizará hasta la cabecera TCP.

Este no es el caso, pero si se tratase del protocolo UDP, tendríamos que establecer el límite a 42 bytes.

A partir de ahí podemos ir poniendo límites según protocolos o datos involucrados. En este caso tenemos HTTP y datos de un fichero gráfico tipo GIF.

Una vez establecido el límite, nuestras capturas tendrán este «formato»:

Vemos calramente como nuestras captura está limitada a Internet Protocol (IP). No aparece más.

En Tshark, podemos hacer lo mismo. La opción sería -s.

Como recordatorio de Tshark.

Las opciones usadas en la anterior captura:

• i3 usar la interface 3. el listado de interfaces lo obtenemos con -D
• -n no resolver nombres de hosts
• -s 54 establcemos el limite, trucado o snaplen en 54 bytes para capturar hasta la cabecera TCP.
• -f «dst port 80» establecemos un filtro para capturar solo lo paquetes o tramas con destino al puerto 80.
• -c10 un limite de 10 paquetes en la captura.

Todo esto y más relacionado con Tshark lo vimos en:

• Tshark, Wireshark en línea de comandos. (I Parte.)
• Tshark, Wireshark en línea de comandos. (II Parte.)
• Tshark, Wireshark en línea de comandos. (III Parte.) Estadísticas.
• Tshark, Wireshark en línea de comandos. (IV Parte.) Usando el lenguaje Lua.
• Tshark, Wireshark en línea de comandos. (V Parte.) Avanzando en filtros y Estadísticas.
• Tshark. Análisis correo saliente SMTP.
• Tshark Detectando problemas en la red.

—————————————————————————