Lire une capture Wireshark couche par couche

Wireshark est un analyseur de trafic réseau gratuit qui capture les trames passant par une interface et les affiche décodées couche par couche (Ethernet, IP, TCP ou UDP, puis le protocole applicatif). Ce chapitre explique comment capturer légalement, la différence entre filtres de capture et filtres d'affichage, comment lire une trame champ par champ, et comment reconnaître dans une capture les échanges vus dans ce cours : ARP, DHCP, DNS, poignée de main TCP, HTTPS.

Ce que Wireshark montre, et dans quel cadre

Wireshark met sous tes yeux tout ce que ce cours décrit : l'encapsulation, les adresses MAC qui changent, les requêtes ARP, la poignée de main TCP. C'est l'outil qui transforme la théorie en observation, et un outil de dépannage quotidien pour un administrateur. Il est libre, disponible sous Windows, macOS et Linux.

Installer et capturer

• Windows : l'installeur de wireshark.org propose d'installer Npcap, le pilote de capture. Accepte.
• Linux : sudo apt install wireshark, réponds « oui » à la question sur les utilisateurs non privilégiés, puis ajoute-toi au groupe : sudo usermod -aG wireshark $USER (et reconnecte-toi). Ne lance pas l'interface graphique en root.
• Sur un serveur sans interface graphique, capture avec tcpdump et ouvre le fichier dans Wireshark sur ton poste :

sudo tcpdump -i enp0s3 -nn -w /tmp/capture.pcapng port 53 or arp

Où capturer ? Une carte réseau ne voit que le trafic qui lui est destiné, plus les broadcasts et le multicast : un switch n'envoie pas à ton poste les trames des autres. Pour observer le trafic d'une autre machine, on configure sur le switch administrable un port miroir (SPAN), qui recopie le trafic d'un port vers celui de l'analyseur. En Wi-Fi, capturer le trafic des autres demande une carte en mode moniteur et, de toute façon, les données sont chiffrées.

L'écran de Wireshark

Après avoir choisi l'interface (celle qui a du trafic, souvent « Ethernet » ou enp0s3) et lancé la capture, trois volets s'affichent :

1. La liste des trames : une ligne par trame, avec son numéro, l'heure relative, les adresses source et destination, le protocole le plus haut reconnu, la longueur et un résumé (colonne Info). Les couleurs aident : en noir et rouge, les problèmes (retransmissions, RST).
2. Le détail de la trame sélectionnée, en arbre : une ligne par couche, que tu déplies : la couche la plus basse (la trame) en haut, l'application en bas. C'est l'encapsulation, vue de l'extérieur vers l'intérieur.
3. Les octets bruts, en hexadécimal et en ASCII. Cliquer sur un champ du détail surligne ses octets.

Filtres de capture et filtres d'affichage

Wireshark a deux langages de filtre, qu'on confond souvent.

Les filtres d'affichage à connaître :

Lire une trame couche par couche

Le poste 192.168.10.70 ouvre une connexion vers l'application de gestion (192.168.10.179, port 443). Voici le détail de la première trame, celle du SYN :

Frame 12: 66 bytes on wire (528 bits), 66 bytes captured (528 bits) on interface \Device\NPF_{…}
Ethernet II, Src: 3c:52:82:4a:10:7e, Dst: 00:1a:2b:3c:4d:5e
    Destination: 00:1a:2b:3c:4d:5e
    Source: 3c:52:82:4a:10:7e
    Type: IPv4 (0x0800)
Internet Protocol Version 4, Src: 192.168.10.70, Dst: 192.168.10.179
    0100 .... = Version: 4
    .... 0101 = Header Length: 20 bytes (5)
    Total Length: 52
    Flags: 0x2, Don't fragment
    Time to Live: 128
    Protocol: TCP (6)
    Source Address: 192.168.10.70
    Destination Address: 192.168.10.179
Transmission Control Protocol, Src Port: 51610, Dst Port: 443, Seq: 0, Len: 0
    Source Port: 51610
    Destination Port: 443
    Sequence Number: 0    (relative sequence number)
    Flags: 0x002 (SYN)
    Window: 64240

Lis-la de haut en bas, c'est-à-dire de la couche 1 à la couche 4 :

• Frame : ce que la carte a vu, 66 octets (sans préambule ni FCS).
• Ethernet II (couche 2) : l'adresse MAC de destination n'est pas celle du serveur mais celle de la passerelle (00:1a:2b:3c:4d:5e, l'interface VLAN 10 du switch de cœur), puisque le serveur est dans un autre réseau (chapitre 9). Le champ Type 0x0800 annonce de l'IPv4.
• IPv4 (couche 3) : les adresses de bout en bout, un TTL de 128 (le poste est sous Windows), le protocole 6, c'est-à-dire TCP. La longueur totale de 52 octets comprend 20 octets d'en-tête IP et 32 octets d'en-tête TCP (20 octets fixes et 12 d'options, dont la taille maximale de segment, le MSS).
• TCP (couche 4) : un port source éphémère, le port de destination 443, le seul drapeau SYN, et aucune donnée (Len: 0). Wireshark affiche des numéros de séquence relatifs, qui commencent à 0, pour faciliter la lecture ; le vrai numéro initial est aléatoire.

Reconnaître les échanges du cours

ARP. Filtre arp. Une requête en broadcast (Who has 192.168.10.126? Tell 192.168.10.70), une réponse en unicast (192.168.10.126 is at …). Une suite de requêtes sans réponse signifie que la machine cherchée est éteinte, absente du réseau ou dans un autre VLAN.

DHCP. Filtre dhcp. Quatre lignes : DHCP Discover, Offer, Request, ACK, avec l'adresse source 0.0.0.0 pour le Discover. Dans le détail de l'Offer, les options : Router, Domain Name Server, IP Address Lease Time. Pour en provoquer un : ipconfig /release puis ipconfig /renew pendant la capture.

DNS. Filtre dns. Une requête Standard query A intranet.sorbier.example, puis la réponse Standard query response, avec les enregistrements (ici un CNAME puis un A). Souvent, une requête AAAA part en même temps : le système demande les deux adresses.

La poignée de main TCP. Filtre tcp.port == 443. Trois lignes [SYN], [SYN, ACK], [ACK], puis les données. Un [RST, ACK] en réponse au SYN : port fermé. Des SYN répétés sans réponse, marqués TCP Retransmission : port filtré par un pare-feu, ou serveur injoignable.

HTTPS. Après la poignée de main TCP, le Client Hello de TLS. Le contenu est chiffré, mais le nom du site demandé reste souvent visible en clair dans l'extension SNI (Server Name Indication) : un pare-feu peut filtrer par nom de site sans déchiffrer. Avec ECH (Encrypted Client Hello), que les navigateurs récents utilisent quand le site le permet, ce nom est chiffré à son tour et seul un nom générique de l'hébergeur reste visible.

HTTP en clair. Filtre http.request, puis clic droit, « Suivre », « Flux TCP » : la requête et la réponse s'affichent en texte, y compris un mot de passe envoyé par un formulaire. C'est la démonstration la plus parlante de l'intérêt de HTTPS.

Les menus qui font gagner du temps

• Statistiques → Hiérarchie des protocoles : la répartition du trafic par protocole. Utile pour repérer un flux inattendu.
• Statistiques → Conversations : qui parle à qui, combien. Trie par octets pour trouver la machine qui sature un lien.
• Analyser → Informations expertes : retransmissions, paquets hors d'ordre, fenêtres pleines, regroupés par gravité.
• Analyser → Suivre → Flux TCP ou UDP : reconstitue un échange complet.

Exercices

Ethernet II, Src: 00:1a:2b:3c:4d:5e, Dst: 3c:52:82:4a:10:7e
    Type: IPv4 (0x0800)
Internet Protocol Version 4, Src: 198.51.100.80, Dst: 192.168.10.70
    Time to Live: 52
    Protocol: TCP (6)
Transmission Control Protocol, Src Port: 443, Dst Port: 51544, Seq: 0, Ack: 1, Len: 0
    Flags: 0x012 (SYN, ACK)

Who has 192.168.10.118? Tell 192.168.10.70