Sieci komputerowe

NET-02 — Ethernet, MAC, ARP i analiza ramek w Wiresharku

Sieci + Cyberbezpieczeństwo

Laboratorium dla początkujących: przechwyć własny ruch, odczytaj pola Ethernet II i porównaj komunikację lokalną z ruchem kierowanym przez bramę.

60–90 minpoziom początkującyWindows lub Linuxraport z obserwacji

Cele ćwiczenia

Od interfejsu do wniosku

Identyfikacja właściwego interfejsu sieciowego.
Odczyt adresu MAC, IPv4, maski lub prefiksu oraz bramy domyślnej.
Obserwacja ARP Request i ARP Reply.
Rozróżnienie komunikacji lokalnej i zdalnej.
Analiza pól ramki Ethernet II.
Zastosowanie filtrów przechwytywania i wyświetlania Wireshark.
Udokumentowanie obserwacji i wniosków.

Autoryzowane środowisko

Stanowisko i zakres

Wyposażenie laboratorium Ethernet MAC ARP i Wireshark
Element	Wymaganie	Zastosowanie
Hosty	Dwa komputery lub dwie maszyny wirtualne w tej samej sieci laboratoryjnej	Wygenerowanie i porównanie ruchu lokalnego
Brama	Dostęp do bramy domyślnej prowadzącej poza podsieć stanowiska	Porównanie docelowego IP z MAC pierwszego skoku
Oprogramowanie	Wireshark na Windows albo Linux	Przechwytywanie i analiza Ethernet oraz ARP
Uprawnienia	Uprawnienia wymagane do przechwytywania na własnym interfejsie	Legalna i technicznie poprawna realizacja ćwiczenia

Przechwytuj ruch wyłącznie we własnej sieci laboratoryjnej albo za zgodą administratora. Nie analizuj cudzej komunikacji, danych logowania ani prywatnych treści.

Najpierw kontekst

Polecenia i przygotowanie interfejsu

Windows

ipconfig /all getmac /v arp -a ping ADRES_HOSTA tracert ADRES_IP

Linux

ip address ip link ip route ip neigh ping -c 4 ADRES_HOSTA traceroute ADRES_IP

Zapisz nazwę aktywnego interfejsu, własny MAC, IPv4 z maską lub prefiksem oraz adres bramy. Polecenia odczytujące konfigurację nie zmieniają ustawień hosta.

Opcjonalne czyszczenie pamięci ARP

Wykonuj je wyłącznie na własnym, izolowanym stanowisku. Operacja może wymagać uprawnień administratora i nie jest potrzebna, gdy istniejący wpis cache jest częścią poprawnej obserwacji.

Windows (terminal administratora): arp -d * Linux (sudo): sudo ip neigh flush dev NAZWA_INTERFEJSU

Pola i rozmiar

Analiza ramki Ethernet II

eth eth.addr == aa:bb:cc:dd:ee:ff eth.src == aa:bb:cc:dd:ee:ff eth.dst == aa:bb:cc:dd:ee:ff eth.type == 0x0800 eth.type == 0x0806

To filtry wyświetlania. Odczytaj Source MAC, Destination MAC, EtherType oraz długość ramki. Preambuła, SFD i IPG zwykle nie są widoczne. Karta lub sterownik może usunąć FCS, dlatego jego brak nie jest automatycznie błędem.

Sekwencja zdarzeń

ARP dla celu lokalnego i zdalnego

Porównanie ARP dla hosta lokalnego i bramy przy celu zdalnym — Dla celu lokalnego ARP szuka MAC hosta, a dla zdalnego MAC bramy; docelowy IP nadal wskazuje host końcowy.

arp arp.opcode == 1 arp.opcode == 2 arp && eth.dst == ff:ff:ff:ff:ff:ff

Znajdź Request i Reply. Odczytaj opcode, Sender MAC, Sender IP, Target IP i Target MAC, a następnie porównaj je z eth.src oraz eth.dst bieżącej ramki.

Wykonanie i raport

Przebieg ćwiczenia i tabela wyników

Czternaście kroków laboratorium Ethernet MAC ARP i Wireshark
Nr	Zadanie	Wymagany zapis
1	Zanotuj konfigurację interfejsu	Nazwa, IPv4, maska lub prefiks i stan linku
2	Zidentyfikuj własny MAC	Adres MAC aktywnego interfejsu
3	Zidentyfikuj bramę domyślną	IPv4 bramy i interfejs wyjściowy
4	Wybierz właściwy interfejs w Wiresharku	Interfejs z ruchem zgodnym z zapisaną konfiguracją
5	Rozpocznij krótkie przechwytywanie	Czas startu i uzgodniony zakres
6	Opcjonalnie wyczyść pamięć ARP	Tylko własne, izolowane stanowisko i wymagane uprawnienia administratora
7	Wykonaj ping do hosta lokalnego	Adres przydzielonego hosta w tej samej podsieci
8	Przeanalizuj ARP i ICMP	Request, Reply oraz późniejszy ruch IP
9	Wykonaj ping do adresu poza podsiecią	Adres wskazany przez prowadzącego
10	Porównaj cel IP i MAC	Docelowy IP hosta końcowego oraz docelowy MAC bramy
11	Zastosuj filtry	Filtry Ethernet, ARP, MAC, EtherType i opcode
12	Zatrzymaj przechwytywanie	Zakres bez zbędnego dalszego ruchu
13	Zapisz wyniki	Własne obserwacje bez cudzych danych i treści prywatnych
14	Wypełnij tabelę obserwacji	Pola ramek, rodzaj komunikacji i uzasadniony wniosek

Przebieg analizy Ethernet i ARP w Wiresharku z rozróżnieniem filtrów przechwytywania i wyświetlania — Zapisuj sekwencję Request → Reply → ruch IP, a nie tylko pojedynczą wyrwaną z kontekstu ramkę.

Tabela wyników analizy Ethernet ARP i komunikacji lokalnej oraz zdalnej
Test	Źródłowy IP	Docelowy IP	Źródłowy MAC	Docelowy MAC	EtherType	Rodzaj komunikacji	Wniosek
ARP Request
ARP Reply
Ping — cel lokalny
Ping — cel zdalny

Pytania kontrolne

Dlaczego ARP Request jest rozgłoszeniowy?
Dlaczego ARP Reply zwykle jest unicatem?
Jaki MAC znajduje się w ramce kierowanej do zdalnego serwera?
Czy router przekazuje ramkę Ethernet bez zmian?
Dlaczego FCS może być niewidoczny w Wiresharku?
Czym różni się filtr przechwytywania od filtra wyświetlania?
Co zrobi przełącznik z nieznanym docelowym MAC?

Od objawu do testu

Diagnostyka typowych problemów

Najpierw potwierdź interfejs i konfigurację, dopiero potem interpretuj brak lub nadmiar ramek.

Typowe problemy podczas laboratorium Ethernet ARP i Wireshark
Objaw	Możliwa przyczyna	Pierwszy krok
Brak oczekiwanego ruchu	Wybrano niewłaściwy interfejs	Porównaj nazwę interfejsu, IPv4 i liczniki pakietów
Nie można rozpocząć przechwytywania	Brak uprawnień	Sprawdź instalację Npcap/libpcap i przydzielone uprawnienia
Trudno znaleźć właściwe ramki	Przechwytywanie zbyt dużej liczby pakietów	Skróć czas i użyj właściwego capture lub display filter
Brak nowego ARP Request	Istniejący wpis w cache	Sprawdź arp -a lub ip neigh; czyszczenie wykonuj tylko opcjonalnie w laboratorium
Brak ICMP Echo Reply	Host lub firewall blokuje ICMP	Potwierdź ARP, trasę i politykę hosta zamiast zakładać jego awarię
Maszyny wirtualne się nie widzą	Różne tryby lub segmenty sieci VM	Porównaj tryb NAT/bridge/host-only i identyfikator sieci
Brak komunikacji z bramą	Problem L1/L2, VLAN, adres lub sama brama	Sprawdź link, ARP, konfigurację IPv4 i port sieci
Host błędnie wybiera cel lokalny	Błędna maska lub prefiks	Porównaj obliczoną podsieć z konfiguracją stanowiska

Odbiór ćwiczenia

Kryteria zaliczenia i bezpieczeństwo

Kryteria zaliczenia

Właściwy interfejs i konfiguracja stanowiska zostały udokumentowane.
Poprawnie odczytano Source MAC, Destination MAC, EtherType oraz długość ramki.
Rozpoznano ARP Request po broadcastowym Destination MAC i opcode 1.
Rozpoznano typowy ARP Reply po opcode 2 i adresach nadawcy.
Poprawnie wyjaśniono różnicę między docelowym IP a MAC dla celu zdalnego.
Braku FCS nie uznano automatycznie za błąd ramki.
Raport opisuje sekwencję Request → Reply → ruch IP i odpowiada na pytania kontrolne.

Zakres i prywatność

Przechwytywany jest wyłącznie własny ruch albo ruch objęty zgodą administratora.
Laboratorium korzysta z izolowanej lub jawnie wyznaczonej topologii.
Nie są analizowane cudze dane logowania ani prywatne treści.
Czyszczenie cache ARP dotyczy wyłącznie własnego stanowiska laboratoryjnego.
Plik pcap nie jest publikowany i pozostaje objęty zasadami laboratorium.

Ethernet II i MAC Filtry Wireshark

Dalsza nauka

Oficjalne źródła

Lista: Sieci komputerowe

NET-01 — Okablowanie i pomiary NET-03 — VLAN, trunk i STP/RSTP