¿Cómo puedo capturar paquetes que van desde mi enrutador a un servidor específico?

Tengo una pequeña red local en mi casa que tiene dos computadoras conectadas a un enrutador de módem. Quiero capturar los paquetes que van del enrutador a un servidor específico (sé la dirección IP del servidor).

El fabricante del enrutador es D-Link.

Primero tendrá que interponerse entre todo ese tráfico. Puede hacer esto de varias maneras, la más simple de las cuales probablemente sea identificar si realmente necesita el tráfico de ambas computadoras o solo el tráfico de una sola computadora.

Si necesita ambos, conecte las computadoras a un concentrador y luego al enrutador. Un concentrador enviará todo el tráfico de red a todos los puertos, donde un conmutador solo lo enviará a su destino previsto.

Si solo tiene un interruptor, supongo que podría instalar una computadora como puerta de enlace y apuntar la segunda computadora hacia él, pero eso es desordenado.

Si necesita todo el tráfico, incluso el enrutador, coloque un concentrador después del enrutador y conecte una computadora al mismo. Esto probablemente solo funcionará si el tráfico que intenta capturar no se origina en la máquina que está utilizando para capturar los paquetes, de lo contrario, se ejecutará con una configuración más desordenada.

Una vez que tenga todo el tráfico pasando por la NIC de su computadora, tome un sniffer de paquetes (en realidad prefiero Windows Network Monitor sobre Wireshark ) y comience a tomar los paquetes. Probablemente quiera filtrar el tráfico para mostrar el servidor en cuestión. Los filtros en Microsoft Network Monitor son muy fáciles de usar:

Si ejecuta DD-WRT en su enrutador doméstico, puede ejecutar tcpdump directamente en el enrutador, con la salida devuelta a su sistema local para su posterior procesamiento.

Un ejemplo:

ssh root@192.168.1.1 -c "tcpdump -v -w - -i eth2" > mypackets.pcap

Simplemente presione Ctrl-C cuando haya terminado y cargue el archivo de captura en su herramienta de análisis favorita, como Wireshark.

Con un enrutador o conmutador de nivel empresarial, podría duplicar un puerto y usar un programa de captura de paquetes como wireshark o netmon para hacer esto. Con un enrutador d-link, realmente no hay forma de hacerlo.

Una solución sería obtener un concentrador de red (no un conmutador, sino un concentrador) y colocarlo en su red interna. Luego, conecte el enlace ascendente del concentrador a un puerto de su enrutador. Ahora ha creado una situación en la que todo el tráfico dentro y fuera de su red afectará a todas las NIC de su máquina, porque está utilizando un concentrador. Si hace esto, podrá ejecutar wireshark o netmon en modo promiscuo y capturar todo este tráfico. Escribir un filtro para aislar el tráfico hacia / desde una IP específica es trivial.

A menos que los paquetes se originen desde el enrutador (posible, pero poco probable), los paquetes deberían provenir de una de las computadoras conectadas. En este caso, puede usar un sniffer de paquetes . SmartSniff es extremadamente fácil de usar y se puede configurar para capturar y / o mostrar solo conexiones a / desde una IP específica, puerto, etc.