Ejecución de Ethereal

Al iniciar Ethereal se abre la ventana principal, que se muestra en la figura 24.1. Cualquier usuario puede iniciar Ethereal, pero se requieren derechos de administrador para capturar paquetes. (Sin embargo, cualquier usuario puede cargar archivos para su análisis.) La ventana principal tiene tres paneles. El p.i nel superior, denominado panel de lista de paquetes, proporciona una visión de nivel superior de cada paquete. Muestra el tiempo de captura, el origen y la di rección de destino de cada paquete, el protocolo y una descodificación básica para el paquete. El campo Protocol (Protocolo) está relleno con la descodificación final, o disector, utilizado para analizar la trama. En las redes 802.11, la descodificación final puede ser IEEE 802.11 para las tramas de administración o puede seguir todo el protocolo TCP para el análisis, como en el caso de una trama 802.11 que contenga un paquete IP encapsulado en LLC con un segmento TCP transportan do HTTP. Con el uso incrementado del cifrado de la capa de enlace, la descodificación final normalmente es 802.11 ya que la captura al natural de Ethereal no puede descifrar tramas y "ver" los protocolos de capa superior protegidos.
El panel central, denominado panel de vista de árbol, es una vista del paquete seleccionado en la lista de paquetes. Todos los encabezados principales de un paquete se muestran aquí y se puede expandir para verlos con más detalle. Todos los paquetes tienen el árbol básico "Frame" (Trama), que contiene detalles sobre el tiempo de llegada y lajongitud de captura. Las redes 802.11 pueden añadir el encabezado de supervision Prism que contienen datos del enlace de radio. Originalmente el encabezado Prism se desarrolló para su uso con dispositivos Prism, pero ha sido adoptado por la mayoría de los controladores. La"c^tura mostrad ¿i en la figura 24.1 se ha realizado a partir de una tarjeta Atheros pero el controlador MADwifi ha añadido el encabezado de supervisión Prism. Algunos controladores tienen la opción de habilitar o de solicitar el encabezado Prism.

El panel inferior se denomina panel de vista de datos. Muestra los datos binarios al natural en el paquete seleccionado. Asimismo resalta el campo seleccionado en el panel de vista de árboTTSi se pueden llamar a más disectores para descodificar la trama, se hará. Ethereal puede ver el encabezado del Control de enlace lógico (LLC, Logical Link Control) para el tráfico sin cifrar. A partir de ahí, LLC puede contener paquetes ARP, paquetes IR segmentos TCP, etc. Ethreal incluye disectores para todos los protocolos utilizados con frecuencia, por lo que las tramas 802.1 I se descodifican completamente cuando se encuentran disponibles. Sin embargo, las tramas cifradas, como la mostrada en la figura, se presentan como datos opacos.
Al seleccionar un campo en el panel de vista de árbol, se resaltan los bits CO r respondientes en el panel de vista de datos. En la figura 24.1 se eiu uent \<\ seleccionada una trama que aparece resaltada en el panel inferior. Personalmente |>i< fiero utilizar una fuente mono espacio para que el panel inferior de la vist.i de datos se presente en columnas.
En la parte superior de la ventana Ethereal existe una barra con cuatro elemen tos importantes. El primero de la izquierda, Filter (Filtro), se utiliza para creai filtros que reducen la lista de paquetes capturados a los paquetes que interesan, II siguiente cuadro justo a la derecha, le permite introducir filtros sin tener que uti lizar el proceso de construcción. Ethereal mantiene una listaron el historial de los filtros que le permite cambiar entre los distintos filtro^existentes. A la derecha se encuentra un campo de texto que muestra diversos tipos de información, depen diendo de lo que esté haciendo Ethereal. Puede indicar que actualmente Ethereal está capturando datos, mostrar el nombre del archivo de captura cargado o mos trar el nombre del campo resaltado actualmente en la vista del árbol.
Captura de datos
Capturar datos es fácil. Haga clic en el menú Capture>Start (Capturar>Inieio) para abrir la ventana Capture Preferences (Preferencias de la captura). Ethereal puede utilizar cualquier interfaz detectada, incluso interfaces de LAN inalámbricas
Lo primero que tiene que hacer es seleccionar la interfaz que desea supervisar. Para interfaces inalámbricas, el nombre puede empezar por eth, ath o incluso wlan. Sin embargo, antes de iniciar la captura tiene que introducir la interfaz en modo de supervisión. Ethereal acepta la opción de línea de comandos i para especificar una interfaz. Si prevé realizar todo su análisis en una interfaz, pue den definir una asignación de shell de ethereal a ethereal  i ath0.
Es recomendable seleccionar las casillas Update list of packets in real time (Ac tualizar lista de paquetes en tiempo real) y Automatic scrolling in live capture (Desplazamiento automático en captura en directo). Si no se selecciona la primera, la traza sólo aparece cuando se detiene la^captura. Si se deja sin seleccionar la segunda casilla, la traza no se desplaza hasta el final. La velocidad es importante en un análisis en tiempo real. Al deshabilitar la resolución del nombre, se elimina la sobrecarga para todos los paquetes capturados y se puede permitir que una estación evite perder tramas en el aire.
 

Reducción de datos
Las capturas al natural pueden ser largas y se pueden encontrar paquetes ext ranos entre tanta captura. Una de las claves para utilizar correctamente el analizador de red es reducir la cantidad de paquetes a tan sólo algunos de ellos. Ethereal proporciona tres formas de reducir la cantidad de datos capturados a una cantidad manejable: filtros de captura, filtros de presentación y marcas de paquetes.
Filtros de captura
Los filtros de captura son un método muy eficiente de reducir la cantidad de datos procesados por Ethereal ya que se introducen en la interfaz de la escucha de paquetes. Si la interfaz de captura de paquetes descarta el paquete, éste no tiene que hacer nada en Ethereal para un procesamiento posterior. Lamentablemente, los filtros de captura no son muy útiles con 802.11. Si se añade el encabezado de supervisión Prism, no se pueden ajplicar los filtros de captura.
Ethereal utiliza libpcap, por lo que el lenguaje del filtro de captura es exactamente igual que el de tcpdump. Se encuentran disponibles diversos primitivos, que se pueden agrupar en expresiones arbitrariamente largas. Estos primitivos permiten el filtrado en direcciones Ethernet e IR puertos TCP y UDP y números de protocolo IP o Ethernet. Muchos se pueden aplicar a números de origen o de destino. Lamentablemente, la mayoría de los números de protocolo a los que se aplican se cifran en muchas redes 802.11 y, por consiguiente, no son útiles.

Nota: Las tramas 802.11 transportan el número de protocolo Ethernet en el encabezado LLC, por lo que no se puede filtrar fácilmente si la red está cifrada.