Wirekshark - Wer hat den meisten Traffic?

[ForumStar]

Wie kann ich mit Wireshark ein Netzwerk scannen, und dabei herausfinden, welche IP den meisten Traffic saugt?

 

[Revolution]

In einem richtig Konfigurierten Netzwerk als Client gar nicht. Wenn es nen gemeinsamen Zugangspunkt zum Internet gibt kannst du es auf dem Server prüfen aber dafür ist Wireshark eher nicht geeignet...

 

[Cool Master]

Dazu kommt, dass dein Vorhaben schon sehr stark ans Packet Sniffing geht.

 

[ForumStar]

Sniffing ist nicht illegal, wenn es um die Sicherheit einer Netzwerkstruktur geht, nur um das zu erklären. Die Netzwerkstruktur sieht aber so aus, dass alle Clients an einem Router hängen, der einen Ethernetanschluss hat. Es gibt also keinen Server per se.

 

[ForumStar]

Also ersteinmal: Cool Master, ich will damit - im Gegensatz zu dem was du implizierst - nur die Stabilität des Netzwerks verbessern. Das ist völlig legal, da es um die Sicherheit der eigenen Infrastruktur geht. Wenn du keine Ahnung über das Thema hast, dann bleib einfach davon weg. Solche Kommentare braucht niemand.

@Revolution: Das Netzwerk sieht so aus, dass alle Geräte an einem Router mit Ethernetanschluss angeschlossen sind. Es existiert kein Server per se. Das heißt, dass es auch keine Software auf einem Server zu installieren gibt.

 

[Revolution]

Also ersteinmal: Cool Master, ich will damit - im Gegensatz zu dem was du implizierst - nur die Stabilität des Netzwerks verbessern. Das ist völlig legal, da es um die Sicherheit der eigenen Infrastruktur geht. Wenn du keine Ahnung über das Thema hast, dann bleib einfach davon weg. Solche Kommentare braucht niemand.

Na ja auch in Deutschland musst du da gewisse Datenschutz Richtlinien beachten...

@Revolution: Das Netzwerk sieht so aus, dass alle Geräte an einem Router mit Ethernetanschluss angeschlossen sind. Es existiert kein Server per se. Das heißt, dass es auch keine Software auf einem Server zu installieren gibt.

Und wenn du von nem Router redest meinst du einen Heimrouter habe ich recht?

 

[Cool Master]

Na ja auch in Deutschland musst du da gewisse Datenschutz Richtlinien beachten...

Genau so sieht es aus.

@ForumStar

Ich wollte dich auch nur darauf Hinweisen! Da musst du mich nicht gleich so angehen! Vorallem DU willst hier evtl. noch ein paar Fragen beantwortet haben wenn du aber jeden so angehst kannst DU das bald vergessen.

So wie man in den Wald rein schreit so kommt es auch wieder raus...

 

[ForumStar]

Ja. Also dank eurer Hilfe habe ich nichts gelernt. Jedenfalls, für alle die es interessiert:

Mit Wireshark einfach in einem gewünschten Intervall capturen. Dann wenn die gewünschte Zeit erreicht ist, auf Statistics -> Endpoint gehen. Dann auf den Reiter IP klicken, und nach Bytes sortieren. Voila.

 

[Revolution]

Damit bekommst du aber nur den IP Tariffic von einem Client raus nämlich von dem auf dem du Wireshark installiert hast... Wenn du das nicht bei jedem Client gemacht hast ist dein Ergebnis nutzlos.

* Ausnahme du hast nen hub satt nem switch.

Ja. Also dank eurer Hilfe habe ich nichts gelernt.

Und wenn ich ehrlich bin ich finde die aussage von dir hier eigentlich recht unverschämt ... all meine aussagen waren korrekt und bezogen sich auf ein größeres Netzwerk da man in einem 5 Client netz so etwas eigentlich nicht bracht.

 

[Fr4g3r]

Hallo,

schließt du jeden Computer mit einem eigenen Kabel an einen Router oder Switch an, so erstellst du Microsegmente. Der Switch filtert deinen Netzwerkverkehr, d.h. an deinem Rechner kommen nur Frames an die für diesen bestimmt sind oder Broadcast sind. Das unterscheidet den Switch von einem Hub. Diese Eigenschaft führt nun dazu, dass du an deinem Rechner mit Wireshark keine Pakete sehen wirst die in Richtung Internet gehen, da diese nicht an dich adressiert sind und auch keine Broadcast sind.

Gruß
Fr4g3r

 

[ForumStar]

Damit bekommst du aber nur den IP Tariffic von einem Client raus nämlich von dem auf dem du Wireshark installiert hast... Wenn du das nicht bei jedem Client gemacht hast ist dein Ergebnis nutzlos.

* Ausnahme du hast nen hub satt nem switch.

Inkorrekt. WireShark zeichnet auf Wunsch alle Pakete aus, die in dem ganzen Netzwerk rumfliegen. Also allen Traffic, intern und extern. Und durch einen Filter, kann man den internen Traffic ausschließen.

 

[Fr4g3r]

Stimmt nicht, zumindest kann das technisch nicht stimmen wenn man einen Switch benutzt und nicht auf jedem Rechner eine Softwarekomponente dafür installiert. Setz dich mal damit auseinander wie Lans und insbesondere ein Switch funktioniert. Wie will Wireshark ohne zusätzlichen Agenten auf den anderen Rechner Frames aufzeichnen die es gar nicht sehen kann, da sich dein Rechner in einem anderen Segment befindet? Wird ein Switch verwendet, dann erreichen deinen Rechner nur Frames die für ihn bestimmt sind oder die Broadcasts/Multicasts sind. Will ein anderer Rechner in einem standard Heimnetzwerk auf das Internet zugreifen, dann addressiert er das Frame an sein Standardgateway. Das ist dann weder an deinen Rechner adressiert, noch ist es ein Broadcast oder Multicast.

Es ist also wie du siehst technisch nicht möglich, nur über spezielle Angriffe die z.B. den Speicher des Switch überlaufen lassen, sodass dieser alle weiteren Frames flutet. Gibt auch noch ein paar weitere Möglichkeiten den Switch zu überlisten, aber in einem Standardsetup geht es erstmal nicht!

Gruß

 

[Diggo]

Also angenommen Du machst das in deiner Firma, dann kannst Du bei jedem halbwegs modernen managed Switch gucken, ob der auch die Pakete pro Port zählt. Dann machst du morgens nen Screenshot und abends und vergleichst

 

[Fr4g3r]

Wenn ein managed Switch vorhanden ist, dann kannst du das auch über Port Mirroring machen.
Dann hast du genau das was du willst, nämlich das du mit Wireshark den kompletten Traffic auch siehst.

Gruß

 

[ForumStar]

So Kinners,

das ganze Netzzwerk funktioniert über kabellose Verbindungen. Dadurch erübrigt sich die Diskussion.

 

[Reiner.LU]

@ ForumStar:

... erst den Leuten welche DIR helfen wollen wohl inkompotent, und Zitat:"unverschämt" antworten und dann:

So Kinners,

das ganze Netzzwerk funktioniert über kabellose Verbindungen. Dadurch erübrigt sich die Diskussion.

Das brauch man in solch ein Forum bestimmt nicht....

Grüße REINER

 

[ForumStar]

Ganz ruhig bleiben. War zwar nicht richtig von mir, gleich so auszuticken, trotzdem ist es ärgerlich, wenn man etwas in einem Forum fragt, und nicht mal Lösungshinweise bekommt, sondern alles selber herausfinden muss, nur um festzustellen, das das wirklich einfach ist.

 

[Cool Master]

Tja wie ich schrieb so wie man in den Wald rein ruft so kommt es raus.

 

[Fr4g3r]

Zumal du eine der wichtigsten Informationen jetzt erst ganz zum Schluss gebracht hast, nämlich dass die Clients kabellos über WLAN angebunden sind. Das hattest du davor nicht erwähnt und bei dem Router nur den Ethernetanschluss genannt. Bei WLAN sieht das nämlich wieder anders aus, dort ist die Analyse per Whireshark möglich, wie du nun aber sowieso schon herausgefunden hast.

Gruß

 

[Revolution]

Ganz ruhig bleiben. War zwar nicht richtig von mir, gleich so auszuticken, trotzdem ist es ärgerlich, wenn man etwas in einem Forum fragt, und nicht mal Lösungshinweise bekommt, sondern alles selber herausfinden muss, nur um festzustellen, das das wirklich einfach ist.

Faszinierend du verstehst es nicht. Warum du hier keine richtigen Antworten bekommen hast lag an dir nicht an uns. Du hast hier erwartet das du auf eine wage Formulierung alla Netzwerk brauch Traffic Info eine Präzise Antwort bekommst. Und wir uns die Topologie einfach aus den Fingern saugen.

Ich wiederhole es gern nochmal meine Antworten waren zu jeder Zeit korrekt zu den Infos die du uns zum jeweiligen Zeitpunk gegeben hast. Woran hätte ich deiner Meinung erkennen sollen das du hier über Clients redest die über WLAN kommunizieren?

Wireshark mag das zwar können ist aber trotzdem das falsche Tool um sowas wirklich sinnvoll auszuwerten und funktioniert so nur in kleinen Netzen...