نحوه نصب Wireshark در اوبونتو برای آنالیز بسته های شبکه

Wireshark یکی از بهترین ابزارهای لینوکسی برای نظارت ترافیک شبکه است و ادمین ها و متخصصان شبکه به کمک آن می توانند به صورت بلادرنگ (real time) در جریان وضعیت ترافیک شبکه و محتوای بسته ها قرار بگیرند و از اطلاعات به دست آمده برای خطایابی و ارتقا عملکرد شبکه استفاده کنند.

برای نصب Wireshark در اوبونتو نیازی نیست که ریپازیتوری آن را به سیستم اضافه کنید چون ریپازیتوری پیش فرض خود اوبونتو مجهز به این ابزار است. تنها کاری که باید انجام دهید این است که با apt آن را نصب کنید و سپس به کاربر موردنظر مجوز دسترسی به اطلاعات Wireshark را بدهید و کار خود را شروع کنید.

پیش نیازهای نصب Wireshark در اوبونتو 

• سیستم یا سرور لینوکس
• توزیع اوبونتو 14.4 به بعد
• یک کاربر با امتیازات sudo 
• اتصال اینترنتی پایدار
• فضای دیسک کافی برای نصب Wireshark در اوبونتو (حداقل ۳۰۰ مگابایت)

در صورت نیاز به یک سرور لینوکس با تمام پیش نیازهای لازم می توانید از صفحه خرید سرور مجازی لینوکس دیدن کنید.

مراحل نصب Wireshark در سیستم اوبونتو

• ابتدا مخازن پیش فرض اوبونتو را آپدیت کنید تا به آخرین ورژن پکیج ها دسترسی داشته باشید:

sudo apt update && sudo apt upgrade

سپس، در یک دو راهی قرار می گیرید:

راه اول این است که بدون توجه به ورژن Wireshark موجود در مخرن پیش فرض اوبونتو، دستور نصب آن را اجرا کنید.

sudo apt install wireshark

مخصوصاً اگر پکیج های سیستم را آپدیت کرده باشید، مطمئن باشید نسخه ای که با این دستور نصب می شود به راحتی از عهده برآورده کردن نیازهای شما برمی آید.

راه دوم هم این است که ابتدا مخزن آپدیت شده wireshark را به سیستم اضافه کنید و سپس دستور نصب را اجرا کنید.

این روش زمانی ایده آل محسوب می شود که مطمئن باشید نسخه موجود در سیستم اوبونتو قدیمی است و شما هم نیاز به امکانات نسخه جدید دارید. 

• پس ابتدا مخزن رسمی Wireshark PPA را به سیستم اوبونتو اضافه کنید:

sudo add-apt-repository ppa:wireshark-dev/stable -y

• مخازن سیستم را آپدیت کنید:

sudo apt update

• دستور نصب wireshark در اوبونتو را اجرا کنید:

sudo apt install wireshark

• بعد از اجرای دستور بالا، باید Y را وارد کنید و اینتر را بزنید تا پروسه نصب wireshark شروع شود.

سپس، صفحه پیکربندی wireshark باز می شود که باید آن را تکمیل کنید.

این صفحه مربوط به ارائه مجوز دسترسی کاربران غیرروت به اطلاعات جمع آوری شده توسط wireshark است.

• اگر می خواهید کاربران غیرروتی که در گروه Wireshark قرار دارند، قادر به جمع آوری پکت ها باشند، گزینه Yes را انتخاب کنید و در غیر اینصورت، No را انتخاب کنید.
• صبر کنید تا عملیات دانلود و نصب پکیج های Wireshark تکمیل شود.
• با اجرای دستور زیر، نسخه Wireshark را بررسی کنید:

wireshark --version

اضافه کردن کاربر غیر روت به گروه Wireshark

اگر در مرحله ارائه مجوز دسترسی گزینه Yes را انتخاب کردید، برای اضافه کردن کاربر موردنظر خود به این گروه باید از دستور زیر استفاده کنید:

sudo usermod -aG wireshark "username"

سپس دستورات زیر را اجرا کنید تا مجوز دسترسی غیرروت لازم برای ضبط ترافیک شبکه تنظیم شود:

sudo chgrp wireshark /usr/bin/dumpcap

sudo chmod 750 /usr/bin/dumpcap

sudo setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap

اگر هم در مرحله پیکربندی، گزینه No را انتخاب کرده بودید، می توانید صفحه پیکربندی را مجدداً با دستور زیر باز کنید:

sudo dpkg-reconfigure wireshark-common

این بار گزینه Yes را انتخاب کنید و مجدداً دستور usermod را برای کاربر موردنظر و ۳ دستور تنظیم مجوز را اجرا کنید.

در نهایت، سیستم خود را ریستارت کنید تا تغییرات اخیری که انجام داده اید، اعمال شوند.

sudo reboot

نحوه اجرای ابزار wireshark در اوبونتو

بعد از اینکه نصب و پیکربندی wireshark را با موفقیت پشت سر گذاشتید، وقت آن است که برنامه wireshark را باز کنید.

برای این کار دو راه دارید:

1- ترمینال را باز کنید و دستور زیر را اجرا کنید:

sudo wireshark

2- Activities را باز کنید، Wireshark را جستجو کنید و برنامه مربوط به آن را اجرا کنید.

نمای پیش فرض Wireshark به صورت زیر است:

نحوه استفاده از wireshark برای مانیتور شبکه

Wireshark قابلیت ها و ویژگی های متنوعی را برای ضبط ترافیک و بسته های ورودی/خروجی شبکه ارائه می دهد که در این بخش به چند مورد از آنها اشاره می کنیم:

ضبط (دریافت/ذخیره) بسته های شبکه

از صفحه اصلی Wireshark، رابط شبکه موردنظر را انتخاب کنید.

روی آیکون Wireshark موجود در گوشه بالا-چپ کلیک کنید.

بعد از این کار، ثبت و ضبط بسته های مربوط به رابط موردنظر شروع می شود.

البته اگر قصد ضبط بسته های چند رابط به صورت همزمان را دارید، کافیست دکمه CTRL را نگه دارید و روی رابط های موردنظر خود کلیک کنید.

بعد از انتخاب رابط های موردنظر، روی آیکون Start capturing packets کلیک کنید تا ضبط بسته های همه آن به صورت همزمان انجام شود.

اگر می خواهید جزئیات بیشتری را در مورد پکت ها ببینید، کافیست روی پکت موردنظر خود کلیک کنید و اطلاعات مربوط به آن را در صفحه ظاهر شده بررسی کنید.

فیلتر کردن خروجی ابزار Wireshark

گاهی اوقات ممکن است از بین هزاران پکتی که در حال رد و بدل شدن هستند به دنبال یک سری پکت با ویژگی های خاص باشید و پیدا کردن آنها از خروجی برایتان چالش برانگیز می شود.

اینجاست که می توانید از معیارهای فیلترسازی Wireshark برای محدود کردن خروجی استفاده کنید.

خروجی Wireshark بر اساس معیارهایی مثل پروتکل ها، آدرس آی پی مبدا/مقصد، شماره پورت و ترافیک http قابل فیلتر هستند و این به ترجیح و نیاز شما بستگی دارد که کدام پارامتر را برای فیلتر کردن خروجی انتخاب کنید.

برای استفاده از فیلتر موردنظر، کافیست اسم پروتکل یا پارامتر موردنظر را در قسمت Apply a display filter وارد کنید و سپس از بین پیشنهادات فیلترهای تعریف شده برای Wireshark، گزینه دلخواه را انتخاب کنید.

اگر هم می خواهید عبارت فیلتر را به صورت گرافیکی انتخاب کنید، کافیست روی Expression کلیک کنید و از پنجره ظاهر شده، پارامتر فیلتر موردنظر را انتخاب کنید.

سپس روی ok کلیک کنید و اجازه دهید خروجی بر اساس این پارامتر فیلتر شود.

همچنین برای انتخاب پارامتر موردنظر برای ضبط بسته ها هم می توانید از آپشن Capture Filter موجود در منوی Capture کمک بگیرید.

متوقف سازی پروسه ضبط Wireshark

اگر یک بازه زمانی خاصی را برای ضبط داده های شبکه در نظر گرفته اید و بعد از استارت ضبط، اکنون وقت آن است که Wireshark را متوقف کنید، کافیست روی دکمه قرمز رنگ مربعی کلیک کنید.

ذخیره داده های ضبط شده توسط Wireshark در یک فایل

اگر برای انجام یک سری بررسی ها و تحلیل ها، به داده های خروجی Wireshark نیاز دارید، می توانید روی File کلیک کنید و گزینه Save As را انتخاب کنید.

اگر بعدا خواستید این فایل ذخیره شده را باز کنید، کافیست از خود Wireshark روی File کلیک کنید، گزینه Open را انتخاب کنید، فایل موردنظر را انتخاب کنید و روی Open کلیک کنید.

کاربردهای ابزار Wireshark

• ضبط و آنالیز ترافیک شبکه به صورت real-time
• عیب یابی مشکلات شبکه
• شناسایی آسیب پذیری های امنیتی شبکه مثل بدافزارها و دسترسی های غیرمجاز
• تست و اشکال زدایی برنامه های مرتبط با شبکه
• ضبط و ذخیره داده های شبکه برای تحلیل وضعیت شبکه
• سفارشی سازی نحوه نمایش داده های خروجی
• …

با همه این ها، دشواری پروسه یادگیری Wireshark و عدم ارائه گزارشات دقیق در مورد وضعیت شبکه از معایب اصلی این ابزار مانیتورینگ شبکه است.

دستور حذف نصب Wireshark از اوبونتو

اگر به خاطر صرفه جویی در مصرف منابع یا عدم نیاز به Wireshark تصمیم گرفته اید این ابزار را از سیستم خود حذف کنید، می توانید از دستور زیر استفاده کنید:

sudo apt-get remove --purge wireshark

این دستور تمام فایل های مربوط به Wireshark را حذف می کند.

اگر برای نصب Wireshark از مخزن رسمی Wireshark استفاده کرده اید، می توانید از دستور زیر هم برای حذف این مخزن استفاده کنید:

sudo apt-get-repository –remove ppa:wireshark-dev/stable -y

بعد از حذف نصب Wireshark، دستور آپدیت را اجرا کنید تا لیست پکیج های سیستم آپدیت شود:

sudo apt update

سخن آخر

Wireshark یک ابزار عالی برای مانیتور شبکه است که به کمک آن می توانید بسته ها و ترافیک ورودی/خروجی شبکه را ضبط کنید و از آن برای خطایابی شبکه خود استفاده کنید.