Práctica 2: Captura y Análisis de Protocolos con Wireshark

1. ENUNCIADO #

En este laboratorio práctico vas a utilizar Wireshark (el analizador de protocolos de red estándar de la industria) para interceptar el tráfico real de tu interfaz de red, inspeccionar las cabeceras de los protocolos estudiados y entender cómo viajan los datos en cada capa del modelo OSI/TCP-IP.

Vas a capturar y analizar:

1. Resolución de direcciones con ARP (Capa 2/3).
2. Consultas y respuestas DNS (Capa 7 sobre UDP).
3. El 3-Way Handshake de TCP (Capa 4).
4. Diferencias entre tráfico en texto plano (HTTP) y cifrado (HTTPS / TLS).

2. OBJETIVOS #

• Aprender a capturar tráfico en la interfaz de red adecuada.
• Dominar el uso de filtros de visualización (Display Filters).
• Inspeccionar tramas Ethernet, paquetes IP y segmentos TCP/UDP.
• Comprender la secuencia SYN $\rightarrow$ SYN-ACK $\rightarrow$ ACK.
• Verificar el principio de confidencialidad analizando la carga útil (payload) de HTTP vs TLS.

3. PARTE 1 - PREPARACIÓN Y CAPTURA #

1. Descarga e instala Wireshark (disponible para Linux, Windows y macOS desde wireshark.org o mediante sudo apt install wireshark).
2. Abre Wireshark y selecciona tu interfaz activa (Wi-Fi o Ethernet / eth0 / en0).
3. Haz doble clic sobre la interfaz para iniciar la captura en tiempo real.

4. PARTE 2 - ANÁLISIS DE TRÁFICO ARP #

1. En la barra de filtros de visualización de Wireshark escribe:

   arp

2. Abre tu terminal y haz un ping a la IP de tu router (por ejemplo ping 192.168.1.1).
3. Observa en Wireshark los dos paquetes generados:
   • ARP Request (Broadcast): "Who has 192.168.1.1? Tell 192.168.1.X" (Dirección MAC destino: ff:ff:ff:ff:ff:ff).
   • ARP Reply (Unicast): "192.168.1.1 is at [MAC_del_Router]".

5. PARTE 3 - ANÁLISIS DE CONSULTAS DNS #

1. Cambia el filtro de visualización a:

   dns

2. En la terminal ejecuta una consulta DNS:

   1dig example.com A

   (O nslookup example.com en Windows).
3. Localiza en Wireshark:
   • Standard query: petición al puerto UDP 53 preguntando por el registro A de example.com.
   • Standard query response: respuesta con la dirección IP devuelta (ej. 93.184.215.14).

6. PARTE 4 - EL 3-WAY HANDSHAKE DE TCP #

1. Aplica el filtro:

   tcp.port == 80 || tcp.port == 443

2. Abre el navegador o haz una petición con curl a un sitio web (ej. curl -I http://neverssl.com para HTTP o curl -I https://google.com para HTTPS).
3. Detén la captura (botón rojo cuadrado).
4. Localiza los 3 primeros paquetes entre tu IP y la IP del servidor web:
   1. [SYN]: Observa el campo Flags: 0x002 (SYN) y el número de secuencia relativo Sequence Number: 0.
   2. [SYN, ACK]: Observa Flags: 0x012 (SYN, ACK) y Acknowledgment Number: 1.
   3. [ACK]: Observa Flags: 0x010 (ACK) completando el apretón de manos.

7. PARTE 5 - HTTP VS HTTPS (TEXTO CLARO VS CIFRADO) #

1. Inspección HTTP (Texto plano):

   • Filtra por http.
   • Haz clic derecho sobre una petición GET $\rightarrow$ Follow $\rightarrow$ TCP Stream.
   • Observa cómo puedes leer claramente la URL, cabeceras (User-Agent, Host) y datos del formulario o HTML.

2. Inspección HTTPS (TLS):

   • Filtra por tls.
   • Localiza los paquetes Client Hello y Server Hello (intercambio de certificados y cifrado negociado).
   • Los paquetes posteriores (Application Data) muestran únicamente bytes aleatorios cifrados sin posibilidad de leer el contenido transmitido.

8. EJERCICIO DE ENTREGA #

Responde a las siguientes preguntas a partir de tu captura:

1. ¿Cuál es la dirección MAC de origen y destino en el paquete ARP Request capturado?
2. ¿Qué número de puerto efímero asignó tu sistema operativo como puerto de origen durante el 3-way handshake de TCP?
3. En la consulta DNS, ¿qué campo de la cabecera indica que se trata de una respuesta (Response) y no de una petición (Query)?