Comment capturer des paquets dans WireShark ?

Wireshark est un outil d’analyse de réseau inestimable qui traduit les données transitant par vos réseaux dans un format lisible par l’homme. Vous pouvez résoudre les problèmes de réseau ou de sécurité, déboguer une implémentation de protocole ou simplement surveiller le trafic en capturant des paquets avec Wireshark.

Examinez de près ce qui se passe sur votre réseau et collectez exactement les informations dont vous avez besoin. Voici comment capturer différents types de paquets dans Wireshark.

Comment capturer des paquets

Le démarrage du processus de capture dans Wireshark ne prend que quelques clics. Tout ce que vous avez à faire est de démarrer le mode capture et les données commenceront à arriver sans filtrage. Bien que ce mode non filtré soit idéal lorsque vous avez besoin d’un compte rendu complet de ce qui se passe, la quantité de données collectées de cette manière peut être écrasante. Pour le rendre plus gérable, vous pouvez utiliser des filtres et ne collecter qu’un certain type de données. Vous trouverez ci-dessous des instructions à cet effet.

Pour l’instant, voyons comment commencer à capturer tous les paquets dans Wireshark :

• Assurez-vous que la dernière version de Wireshark est installée. Vous pouvez télécharger le programme gratuitement sur le site officiel de Wireshark.

• Exécutez le programme. Vous serez accueilli par un écran de bienvenue avec une liste des réseaux découverts.

• Commencez à capturer des paquets de l’une des manières suivantes :
  • Double-cliquez sur le réseau sélectionné dans la liste.
  • Sélectionnez une ou plusieurs interfaces réseau, puis cliquez sur l’icône d’aileron de requin dans la barre d’outils ou « Capturer » puis « Démarrer » dans la barre de menu.

Noter. Vous pouvez configurer les options de capture, comme le mode promiscuité, avant de commencer en cliquant sur Capturer, puis sur Options.

Dès que vous appuyez sur l’interface réseau ou sur le bouton de démarrage, vous serez redirigé vers l’écran de capture. Vous verrez comment Wireshark capture les paquets de données en temps réel. Une fois que vous êtes satisfait de la quantité de données collectées, vous pouvez arrêter la capture en cliquant sur le bouton d’arrêt rouge de la barre d’outils supérieure. Commencez à analyser vos données maintenant ou enregistrez-les pour plus tard en cliquant sur « Fichier » puis sur « Enregistrer sous… » dans la barre de menu.

Comment capturer des paquets UDP

Suivre les étapes ci-dessus invitera le programme à capturer tous les paquets. Alors que différents types de trafic se distinguent facilement dans Wireshark grâce au codage couleur, vous devez toujours passer au crible de nombreuses données. Si vous recherchez uniquement des informations sur certains packages, vous pouvez utiliser des filtres pour vous faciliter la tâche.

Wireshark prend en charge les filtres de capture et d’affichage. L’utilisation d’un filtre de capture signifie que le programme ne capture que les paquets que vous définissez. Les filtres d’affichage filtrent simplement les paquets qui ont déjà été capturés. Les deux filtres fonctionnent différemment et utilisent des commandes différentes, vous devez donc décider lequel correspond le mieux à vos besoins.

Si vous souhaitez uniquement capturer le trafic UDP, utilisez un filtre de capture avant de démarrer le processus de capture.

• Démarrez Wireshark.

• Localisez le panneau du filtre de capture sur l’écran d’accueil. C’est celui juste au-dessus de votre liste de réseaux.

• Tapez « udp » dans le champ « Capture Filter » et appuyez sur Entrée pour commencer à capturer le trafic UDP. Vous pouvez également ajouter un port spécifique après « udp » si vous souhaitez préciser davantage votre filtre.

Conseils. Une autre façon de configurer les filtres de capture consiste à cliquer sur « Capturer » puis sur « Options » dans le menu. Le panneau de filtre sera au bas de l’interface de capture.

Wireshark Comment capturer des paquets DHCP

Pour capturer exclusivement des paquets DHCP, vous devez entrer le numéro de port approprié dans le filtre de capture. Utilisez le filtre de capture « port 67 » ou « port 68 » ou une combinaison des deux « port 67 ou port 68 » pour capturer les paquets DHCP.

De même, un filtre d’affichage peut filtrer les paquets DHCP sur l’écran de capture. Cependant, sachez que les filtres d’affichage utilisent une syntaxe différente de celle des filtres de capture. Vous devrez entrer « udp.port == 68 » dans la ligne de filtre d’affichage.

Comment capturer des paquets de ping

La meilleure façon de capturer les paquets ping (également appelés trafic d’écho ICMP (Internet Control Message Protocol)) dans Wireshark consiste à utiliser un filtre d’affichage en mode capture. Voici le processus.

• Ouvrez Wireshark et démarrez le processus de capture comme décrit ci-dessus.

• Ouvrez une invite de commande et envoyez un ping à l’adresse de votre choix.

• Revenez à Wireshark et arrêtez le processus de capture.

• Créez un filtre ping en tapant « icmp » dans la ligne de filtre d’affichage, puis en appuyant sur Entrée.

Vous verrez à la fois les requêtes et les réponses ping dans la liste des paquets.

Wireshark Comment capturer des paquets à partir d’une adresse IP spécifique

Si vous souhaitez concentrer la capture sur une adresse IP spécifique, saisissez le filtre de capture suivant avant de lancer la capture : « hôte [adresse IP que vous souhaitez capturer] ». Par exemple, pour capturer les paquets associés à l’adresse IP 111.11.1.1, vous auriez besoin du filtre « host 111.11.1.1 » dans le panneau Capture Filters.

Vous pouvez également spécifier si vous souhaitez capturer le trafic vers ou depuis une adresse IP spécifique en ajoutant « src » pour la source ou « dst » pour la destination au début au lieu de « host : »

• entrez « src 111.11.1.1 » pour les paquets provenant de l’adresse IP en question
• entrez « dst 111.11.1.1 » pour les paquets envoyés à l’adresse IP en question

Naturellement, vous pouvez combiner ces filtres pour spécifier le trafic que vous souhaitez capturer ensuite. Connectez les deux filtres avec « et » pour déplacer les paquets entre les deux adresses IP que vous spécifiez. Par exemple, « src 111.11.1.1 et dst 222.22.2.2 » ne capturera que les paquets envoyés de 111.11.1.1 à 222.22.2.2.

Utilisez des filtres d’affichage pour filtrer les paquets associés à une adresse IP spécifique dans un jeu de données déjà capturé. Pour l’adresse IP ci-dessus, entrez « ip.addr == 111.11.1.1 » dans la ligne de filtre d’affichage, et ainsi de suite.

Questions fréquemment posées

Comment capturer les paquets du routeur dans Wireshark ?

Vous ne pouvez capturer des paquets de routeur avec Wireshark que si votre routeur prend en charge la mise en miroir de ports. Tout d’abord, vous devez mettre en miroir le trafic vers le port LAN. Le processus peut varier en fonction de votre appareil.

1. Accédez à la section LAN, puis au miroir du port LAN.

2. Activez la mise en miroir des ports.

3. Configurez les points de début et de fin.

Si vous pouvez refléter votre trafic de cette façon, vous devriez pouvoir capturer les paquets du routeur normalement en mode de capture Wireshark.

Pourquoi ne puis-je pas capturer de paquets dans Wireshark ?

Si votre Wireshark ne capture pas de paquets, envisagez les options de dépannage suivantes :

• Assurez-vous que vous n’avez pas activé de filtres de capture trop spécifiques.

• Recherchez les mises à jour de Wireshark dans le menu Aide.

• Assurez-vous que le pare-feu ne bloque pas votre application Wireshark.

Si aucun des facteurs ci-dessus ne s’applique à vous, le problème est probablement lié à votre matériel.

Faut tout reprendre

La capture de paquets avec Wireshark ne prend que quelques clics. Ce sera probablement la partie la plus facile de votre tâche de dépannage. Capturez tout le trafic et filtrez les paquets ultérieurement, ou utilisez des filtres de capture pour capturer uniquement un type spécifique de données.

Avez-vous réussi à capturer les bons packages grâce à ces conseils ? Quels filtres de capture Wireshark trouvez-vous les plus utiles ? Faites-le nous savoir dans les commentaires ci-dessous.