46.Wireshark

Wireshark es un programa que captura los paquetes que pasan por la tarjeta de red de tu equipo y los muestra desarmados, capa por capa: la trama Ethernet, el paquete IP, el segmento TCP y lo que lleva dentro.

Es como un microscopio para la red: lo que en la teoría son capas y encabezados, en Wireshark se ve con sus valores reales, byte por byte.

En términos técnicos

• Es un analizador de protocolos de código abierto y gratuito, para Windows, Linux y macOS.
• Captura con Npcap (Windows) o libpcap (Linux y macOS).
• Reconoce miles de protocolos y muestra cada campo con su nombre.
• Guarda las capturas en formato .pcapng (o .pcap), que se pueden compartir y abrir después.
• Tiene una versión de terminal, tshark, y otra de solo captura, dumpcap.

¿Dónde lo vas a encontrar?

En el diagnóstico de problemas difíciles («la red está lenta», «la aplicación se cuelga»), en la enseñanza de protocolos, en el desarrollo de aplicaciones de red y en los equipos de seguridad para analizar incidentes.

Las tres zonas de la ventana

Capturar en cuatro pasos

1. Elige la interfaz (Ethernet, Wi-Fi). La línea de actividad indica cuál tiene tráfico.
2. Opcional: escribe un filtro de captura para guardar solo lo que interesa.
3. Inicia la captura (aleta azul), genera el tráfico (abre una página, haz un ping) y detenla (cuadro rojo).
4. Aplica filtros de visualización para encontrar lo que buscas.

Dos tipos de filtro

Filtros de visualización más útiles

Herramientas que conviene conocer

Para capturar el tráfico de otro equipo conectado al mismo switch, se copia su puerto hacia el puerto de tu PC con SPAN (port mirroring):

S1(config)# monitor session 1 source interface FastEthernet0/5 both
S1(config)# monitor session 1 destination interface FastEthernet0/24

• Captura solo en redes propias o con autorización: capturar tráfico ajeno puede violar la privacidad de otras personas y la ley.
• Las capturas pueden contener datos sensibles (cookies, contraseñas en protocolos sin cifrar, nombres). No las publiques sin revisarlas o anonimizarlas.
• Usa filtros de captura en redes con mucho tráfico: los archivos crecen muy rápido.
• Sincroniza la hora si vas a comparar capturas de dos equipos.
• HTTPS se ve cifrado: verás el saludo TLS y el SNI, pero no el contenido. En el laboratorio, el navegador puede exportar las claves (SSLKEYLOGFILE) para descifrar tus propias sesiones.
• Empieza con capturas cortas y un objetivo claro: «quiero ver el saludo de tres vías» es mejor que «a ver qué hay».

• Wireshark Foundation. Wireshark User's Guide. https://www.wireshark.org/docs/wsug_html_chunked/
• Wireshark Foundation. Display Filter Reference. https://www.wireshark.org/docs/dfref/
• pcap-filter(7) — sintaxis de filtros de captura (BPF). https://www.tcpdump.org/manpages/pcap-filter.7.html
• IETF. PCAP Now Generic (pcapng) Capture File Format (borrador del grupo OPSAWG).
• Cisco Systems. Configuring SPAN and RSPAN (guía de configuración de switches Catalyst).