Getriebe-Inspektion

Onkel Alfred hat eben keine Kinderstube, meint Tante Berta. Ihr Geburtstagspäckchen hat er erhalten, bedankt hat er sich nicht. Auf den Paketdienst kann er sich jedenfalls nicht herausreden: Denn dank Internet kann Berta den Weg des Päckchens auf http://privatpaketservice.hlg.de en Detail mitverfolgen. Das Internet selbst – auch eine Art Paketdienst, nämlich für Informationen – bietet für seine eigenen Sendungen, die Datenpakete, einen solchen Service leider nicht.

Macht aber nichts. Denn oft kann man sich selber helfen und den Datentransporteuren über die Schulter schauen, wenn man den Verdacht hegt, dass sie etwas verschusseln. Tools, die sich dafür eignen, heißen Netzwerk-Sniffer. Ethereal, das vielen Linux-Distributionen (beispielsweise auch Suse) beiliegt, ist ein ein talentierter Vertreter dieser Gattung. Es saugt eine einstellbare Zeit lang alle Daten vom einem Netzwerk-Interface ab, filtert die interessanten heraus und verwandelt deren Binärformat in eine leicht lesbare und anschauliche Darstellung.

Bis dahin läuft alles automatisch ab. Danach aber braucht es den Nutzer, der die Fundstücke begutachtet und aus ihnen zu lesen versucht, was die Ursache für Anwendungsprobleme in den oberen Etagen des Netzwerk-Stacks sein mag. Dafür reicht manchmal der gesunde Menschenverstand; oft braucht man Grundkenntnisse, nicht selten aber auch Fachwissen der Netzwerktechnik. Dieser Beitrag illustriert an einem einfachen Beispiel den Umgang mit dem Daten-Spürhund.

Streiken die Postler?

Kein Schwein ruft an – und schlimmer noch: Es schickt nicht mal einer E-Mails. Vielleicht streiken aber auch bloß die virtuellen Postbeamten? Möglicherweise weigert sich ja bereits der eigene Mail-Client, nach der Post zu sehen? Den könnte man eventuell durch Konfigurieren wieder auf die richtige Spur bringen – oder ihm notfalls verdeutlichen, dass jeder ersetzbar ist. Vielleicht aber müht sich der Mailer redlich und erreicht nur das nächste Postamt nicht. Ist die Adresse falsch, unter der er es sucht? Oder er schafft es bis zur Post, erhält die Korrespondenz aber nicht ausgehändigt, weil er sich nicht ausweisen kann. Oder das Problem ist doch ein soziales und kein technisches, das Fach also wirklich leer?

Das alles lässt sich mit Ethereal ziemlich einfach aufklären, wenn man den Datenverkehr unter die Lupe nimmt. Freilich hieße es mit Kanonen auf Spatzen zu schießen, brächte man bei einem solchen Problem immer sofort einen Sniffer in Stellung. Hier wären die Fehlermeldungen und das Log des Clients, ein Ping auf den Server oder ein Test via Telnet die erste Wahl. Dieser Beitrag überspringt diese Schritte.

Die erste Überlegung gilt dann der richtigen Zapfstelle. In einem geshareten LAN, dessen Teilnehmer untereinander über ein Hub verbunden sind, ist die Frage gegenstandslos: Jeder Teilnehmer kann hier auch die Pakete einfangen, die eigentlich für seine Nachbarn bestimmt sind. Dafür muss er nur sein Netzwerk-Interface in den so genannten Promiscuous Mode versetzen.

Anders in einem geswitchten LAN, in dem zwischen den Rechnern virtuelle Exklusivverbindungen geschaltet werden. Hier gibt es mehrere Möglichkeiten: Größere Switche haben oft einen speziellen Monitor-Port, der wie der Port eines Hub funktioniert. Gibt es den, verbindet man ihn mit dem Rechner, auf dem die Netzwerk-Analysesoftware läuft. Sogar bestimmte Hackertechniken wären prinzipiell verwendbar – etwa Man-in-the-Middle oder das erzwungene Umschalten des Switch auf Hub-Funktion mittels MAC-Flooding.

Wenn aber einer der Kommunikationspartner unerreichbar in den Fernen des Internet residiert, helfen selbst diese Tricks nicht weiter. Es bleibt aber eine Möglichkeit, die noch dazu sehr einfach ist: Ethereal muss auf einem der Endpunkte der Verbindung laufen und dort den Dialog mitschneiden.

Scharf machen

Im Beispiel startet der Daten-Detektiv dazu das Sniffer-Programm parallel zum Mail-Client, und zwar als Root-User. Dessen Rechte benötigt die Software, um eine spezielle Schnittstelle zum Netzwerk einzurichten, einen so genannten Raw Socket, über den sie Pakete sammelt und eventuell auch verschickt. Nach erfolgreicher Initialisierung und einem kurzen Splash-Screen erscheint das Hauptfenster.

Abbildung 1: Hier lassen sich alle Optionen für das Datensammeln an einer Stelle konfigurieren. Flexible Filter sorgen dafür, dass nur die guten Pakete ins Körbchen wandern.

Danach wählen Sie aus dem Hauptmenü CaptureStart. Es erscheint ein Fenster für Voreinstellungen wie in Abbildung 1. In diesem Fenster stellen Sie ganz oben zunächst das Interface ein, das Pakete sammeln soll. Im Bild ist es die erste Ethernet-Karte eth0. Mit anderer Hardware könnte die Schnittstelle aber beispielsweise auch ppp0 oder wlan0 heißen. Außerdem ist ein Pseudo-Interface wählbar, das sich Pakete auf allen verfügbaren Netzwerkschnittstellen gleichzeitig greift.

Mit der Checkbox unter den Interface-Einstellungen lässt sich der schon erwähnte Promiscuous Mode aktivieren. Die Option Limit each packet beugt dem Überlaufen der Festplatte vor, indem von jedem Paket nur ein Teil gespeichert wird. Darauf folgt eine Eingabezeile für eine weitere sehr wichtige Einstellung, die Capture-Filter.