Die richtigen Pakete in Sekunden statt in Stunden finden

Capture-Filter oder Display-Filter: die Entscheidung vor dem Start

Ein Capture-Filter wirkt im Kernel beziehungsweise in libpcap, bevor ein Paket in der Datei landet. Was er verwirft, ist verloren. Deshalb gilt als Faustregel: Ohne Capture-Filter aufzeichnen und mit Display-Filtern auswerten, solange Datenmenge und Datenschutz das zulassen. Ein Capture-Filter ist Pflicht, wenn du an einem stark belasteten Link nur einen Client brauchst. Ebenso, wenn du über SSH aus der Ferne mitschneidest und deine eigene Sitzung ausschließen musst, oder wenn die Freigabe für den Mitschnitt auf bestimmte Systeme begrenzt ist.

Die Capture-Syntax folgt der Manpage pcap-filter. Primitive bestehen aus Qualifier und Wert: host, net, port, portrange, dazu Richtung mit src und dst und Protokoll mit tcp, udp, ip, ip6 oder ether. Ohne Richtung gilt src or dst. Eine Besonderheit ist vlan: Laut Manpage verschiebt das erste vlan im Ausdruck die Offsets für alle folgenden Teile, als wäre das Paket getaggt. Schreibe vlan deshalb an den Anfang und nur, wenn du an einem Trunk mit getaggten Rahmen mitschneidest.

Die Filter für den Alltag

Die folgenden Display-Filter decken die häufigsten Fragen bei Störungen ab. Die Feldnamen stammen aus der Display Filter Reference für Wireshark 4.6. Am meisten bringen sie in Kombination mit einer Adresse, etwa ip.addr == 10.20.30.57 && tcp.analysis.retransmission.

Ein Hinweis zu den TCP-Analysefeldern: Am Anfang einer Aufzeichnung meldet Wireshark oft „Previous segment not captured“ oder ACKs auf nicht gesehene Segmente, einfach weil die Verbindung schon vor dem Start lief. Das ist kein Netzfehler. Bewerte Retransmissions immer im Verhältnis zur Gesamtzahl der Pakete der Verbindung, die dir Statistics > Conversations zeigt.

Werkzeuge, die Filter für dich schreiben

Du musst die meisten Feldnamen nicht auswendig kennen. Ein Rechtsklick auf ein Feld in der Paketdetailansicht bietet Apply as Filter und Prepare as Filter; Wireshark setzt dann den passenden Ausdruck mit dem Wert aus dem Paket ein. Mit and Selected oder or Selected erweiterst du einen bestehenden Filter, ohne zu tippen. Der Dialog Display Filter Expression unter Analyze listet alle Felder eines Protokolls mit Typ und erlaubten Operatoren.

Für Auswertungen über die Kommandozeile nimmst du tshark mit denselben Display-Filtern. Mit -Y filterst du beim Lesen, mit -T fields und -e gibst du nur bestimmte Felder aus. Das eignet sich für große Dateien, die Wireshark nur langsam öffnet, und für Berichte, die du in eine Tabelle übernehmen willst. Für lange Aufzeichnungen nutzt du dumpcap mit Ringpuffer, damit die Platte nicht vollläuft.

# DNS-Fehler mit Zeit, Name und Fehlercode als Liste ausgeben
tshark -r ticket-4711.pcapng -Y "dns.flags.rcode != 0" \
  -T fields -e frame.time -e ip.src -e dns.qry.name -e dns.flags.rcode

# Retransmissions je Verbindung zählen
tshark -r ticket-4711.pcapng -Y "tcp.analysis.retransmission" \
  -T fields -e tcp.stream | sort | uniq -c | sort -rn | head

# Ringpuffer: 20 Dateien zu je rund 100 MB, nur Verkehr mit einem Host
dumpcap -i eth0 -f "host 10.20.30.57" -b filesize:100000 -b files:20 -w /var/tmp/fall.pcapng

Weitere Bausteine: Slices, Funktionen, Schichten und Feldreferenzen

Für Spezialfälle kennt die Filtersprache einige Werkzeuge, die in Anleitungen selten auftauchen. Mit Slices greifst du auf Bytes eines Feldes zu: eth.src[0:3] == 00:50:56 liefert alle Rahmen, deren Absender-MAC mit dem Herstellerpräfix 00:50:56 beginnt. Funktionen wie len(), count(), lower() und upper() arbeiten auf Feldern; count(dns.a) > 5 findet DNS-Antworten mit mehr als fünf A-Records.

Bei getunneltem Verkehr, etwa VXLAN oder GRE, enthält ein Paket zwei IP-Header. Mit dem Schichtoperator # wählst du laut Manpage den gewünschten: ip.addr#2 == 10.20.30.57 vergleicht nur mit der inneren Adresse. Feldreferenzen der Form ${frame.time_relative} setzen den Wert aus dem gerade markierten Paket ein, was für Filter wie „alles ab 300 Sekunden vor diesem Paket“ nützlich ist.

eth.src[0:3] == 00:50:56
count(dns.a) > 5
lower(tls.handshake.extensions_server_name) contains "intranet"
ip.addr#2 == 10.20.30.57
frame.time_relative >= ${frame.time_relative} - 300
http.host matches "(?-i)^Intranet\\."

Filter-Buttons und Profile für wiederkehrende Aufgaben

Das Pluszeichen rechts neben der Display-Filterleiste legt einen Filter-Button an: ein Etikett wie „DNS-Fehler“ und der Ausdruck dazu. Ein Klick wendet den Filter an. Sinnvoll sind Buttons für die fünf bis zehn Filter, die du bei jeder Analyse brauchst, etwa Retransmissions, Resets, DNS-Fehler und DHCP.

Konfigurationsprofile bündeln laut Wireshark-Handbuch unter anderem Einstellungen, gespeicherte Capture- und Display-Filter, Filter-Makros, Farbregeln und die Spaltenauswahl. Du legst sie unter Edit > Configuration Profiles an und wechselst sie über das Feld Profile in der Statusleiste. Bewährt haben sich getrennte Profile für TCP-Leistungsanalysen mit Spalten für tcp.analysis.ack_rtt und tcp.analysis.bytes_in_flight, für DNS und DHCP sowie für VoIP. Ein Profil kann über einen Auto-Switch-Filter automatisch aktiv werden, wenn eine Datei passende Pakete enthält.

• Spalte für tcp.stream anlegen, um Pakete einer Verbindung schnell zu gruppieren

• Spalte für dns.time im DNS-Profil, damit langsame Antworten sofort auffallen

• Zeitanzeige auf „Seconds Since Previous Displayed Packet“ umstellen, wenn du Lücken suchst

• Profile als Ordner sichern und im Team teilen, damit alle dieselben Filter und Spalten verwenden

Mitschnitte rechtlich und organisatorisch sauber anlegen

Ein Mitschnitt kann Inhalte von Kommunikation und personenbezogene Daten enthalten: Benutzernamen, Hostnamen von Arbeitsplätzen, aufgerufene Dienste, im ungünstigen Fall unverschlüsselte Inhalte. Kläre deshalb vor dem ersten Einsatz im Haus, unter welchen Bedingungen mitgeschnitten werden darf. Dazu gehören in der Regel der Datenschutzbeauftragte und, wo vorhanden, die Arbeitnehmervertretung. Eine allgemeine Regelung für Fehleranalysen ist besser als eine Einzelfallentscheidung unter Zeitdruck.

Technisch hilft Datensparsamkeit: Ein Capture-Filter auf die betroffenen Systeme, eine begrenzte Laufzeit und, wo nur Header interessieren, eine begrenzte Paketlänge mit der Option -s von dumpcap. Lege Dateien nur in einem geschützten Verzeichnis ab, verschicke sie nicht per Mail und lösche sie, wenn das Ticket geschlossen ist. Wer pcap-Dateien an einen Hersteller-Support gibt, prüft vorher, was darin steht.

• Zweck und Ticketnummer im Dateinamen festhalten

• Nur die betroffenen Hosts und den nötigen Zeitraum aufzeichnen

• Zugriff auf die Dateien auf die Analysierenden beschränken

• Löschfrist festlegen und einhalten, auch für Kopien auf Notebooks