Backtrack 2.0

Como lo define la wikipedia, "un LiveCD o LiveDVD (traducido en ocasiones como CDvivo o CD autónomo) es un sistema operativo (normalmente acompañado de un conjunto de aplicaciones) almacenado en un medio extraíble, tradicionalmente un CD o un DVD (de ahí su nombre), que puede ejecutarse desde éste sin necesidad de instalarlo en el disco duro del ordenador, para lo cual usa la memoria RAM como disco duro virtual y el propio medio como sistema de ficheros".

Los livecd tienen muchos usos prácticos, en esta oportunidad quisiera introducir a los lectores que aún no han tenido la oportunidad de conocerlo, uno de los mejores livecd con herramientas orientadas a la seguridad, la distribución en mención es backtrack 2.0

Como mencione en el párrafo anterior, esta es una distribución orientada a la seguridad, más especificamente a "penetration testers", esto es hackers (espero que con buenas intenciones) que se dedican a mejorar la seguridad poniendola a prueba mediante ataques (algo que dicho sea de paso, no esta excento de polémicas).

Esta es una distribución cargada de herramientas de seguridad divida en categorías, si deseas ver una lista de todas las herramientas disponibles puedes verla aquí.

Lo que encuentro interesante de los livecd, específicamente para el área de soporte de redes, es la posibilidad de experimentar con herramientas que solo estan disponibles en sistemas operativos como linux o las variantes de BSD. Definitivamente no soy experto en Linux, sin embargo me he aventurado a experimentar y puedo dar fe de que instalar aplicaciones no es nada sencillo, tampoco es muy dificil, pero consume tiempo y el tiempo es lo que normalmente esta más escaso, asi que un livecd provee la oportunidad de tener a disposición una gran cantidad de herramientas, con solo insertar un cd y bootear la pc con el, despues de utilizarlas, se extrae el cd, y nuevamente tenemos el sistema operativo con el que trabajamos normalmente.

Entre las muchas herramientas del backtrack, quiero resaltar el excelente soporte a tarjetas de red wireless, también tiene incluidas las herramientas para análisis de redes wireless más populares, como Kismet, Air crack, Airsnort entre otras, de hecho, la principal razón por la que me intereso el backtrack en primer lugar, fue por la posibilidad de ejecutar Wireshark, para análisis de redes wireless, ya que el soporte para estos análisis es mucho mejor en Linux y hasta el momento no me ha defraudado, lo he utilizado en un par de veces para estos propósitos con análisis sencillos sin problemas.

Tal vez la dificultad principal, para sacarle más provecho a este livecd, es la documentación que no es tan abundante, sin embargo, el wiki proporciona lo básico y si lo que te interesa son algunas herramientas específicas, estas normalmente cuentan con bastante documentación.

Hay muchas otras distribuciones de Livecds, en el segmento específico de la seguridad, de acuerdo con el top 10 publicado por Darknet.org, backtrack es la número uno, pero hay algunas otras que vale la pena considerar, sin embargo, si solo puedes bajar una, te recomiendo backtrack.

Solidaridad con el pueblo Peruano

En esta oportunidad, no voy a hablar de redes, ni de temas tecnologícos, unicamente quiero aprovechar este espacio, para expresar mi solidaridad con el pueblo Peruano, que en estos momentos dificiles, tras el paso de un terremoto que según puedo ver en las noticias alcanzo los 7.9 grados en la escala de Ritcher.

Lamentablemente hay victimas, hay perdidas materiales, y es una herida que seguro dejara una huella en la historia del pueblo Peruano, desde la distancia quiero expresar mis condolencias a las familias de las victimas, personalmente no puedo hacer nada por estar allá y contribuir en algo, pero a la distancia puedo elevar mis oraciones e invito a los lectores del blog a hacerlo, a elevar nuestras oraciones para que Dios de consuelo a las familias de las victimas.

Wireshark 101 - Estadísticas Parte I

Continuando con la serie de post sobre Wireshark, en esta oportunidad me gustaría comentar sobre las estadísticas disponibles en Wireshark, estas tienen muchas aplicaciones prácticas para conocer por ejemplo que protocolos hay presentes en la red, o que hosts son los que estan consumiendo el mayor ancho de banda.

En esta primera parte, se describen dos tipos de estadística, reservando algunos más para futuros postst, el primero de ellos es la opción Protocol Hierarchy y Conversations, ambas disponibles desde el menú Statitiscs.

La opción de Protocol Hierarchy despliega todos los protocolos detectados en la captura, indicando el porcentaje encontrado de cada uno, por ejemplo en la figura abajo, muestra que para esta captura en particular, el 100% del trafico es ethernet, lo cual no es de sorprender ya que ethernet es el protocolo dominante, aunque si se captura con una máquina que tenga la capacidad de tener visibilidad en una red WLAN se encontraria un porcentaje diferente.



En el caso ilustrado en esta figura, también se puede ver que el protocolo dominante es IP con el 97.3%, el otro 0.3% corresponde a ARP (no mostrado en la figura). En el siguiente nivel, el protocolo dominante es el TCP con 94.87%, el resto es tráfico UDP, desglosando el TCP, se observa que el http ocupa casí el 10% del tráfico.

Espero que este breve ejemplo sirva para ilustrar el potencial de esta estadística, para identificar que protocolos son los que más estan consumiendo el ancho de banda, también podríamos detectar protocolos que en realidad no deberían estar pressentes, por ejemplo si se tiene restricción sobre algun protocolo específico, acá se puede detectar con mayor facilidad y observar el impacto que tiene sobre la red.

La segunda estadística a describir en este post, es la de conversations, esta proporciona información sobre las conversaciones presentes en la red, con quien se esta comunicando cada host, en el caso especifico ilustrado se puede observar que se detectaron 25 conversaciones ethernet, 197 conversaciones ipv4, 1141 conversaciones tcp y 779 conversaciones udp.



En el ejemplo ilustrado se pueden ver las conversaciones de ipv4, para cada conversación es posible ver la cantidad de packetes y byte transmitidos en cada dirección, esto puede ayudar a identificar que hosts son los que estan acaparando más el ancho de banda, es posible ordenar en orden ascendente o descendente, en este caso, se ordeno por la mayor cantidad de bytes (observar el pequeño triangulo en el campo bytes), con un clic en cualquiera de los campos se ordena en basea a ese parametro, otro click en ese mismo campo invierte el orden, por ejemplo otro click en bytes, ordeara en forma ascendente.

En la parte inferior aparece un boton de copy, con este se copia el contenido de estadisticas y se puede pegar en un documento de texto con todos los valores separados por comas, por lo que posterioremente es posible abrir el archivo en excel o en cualquier hoja de calculo, para genera gráficas, o hacer un análisis más a fondo.

Para que las estadísticas tengan sentido, es importante situar a wireshark en una ubicación que haga sentido y hay que recordar que estas estadísticas serán utilies de acuerdo al contexto de captura, por ejemplo, si unicamente se esta capturando tráfico entre dos hosts, la estadística será valida para estos dos hosts, si se esta capturando tráfico en un enlace de salida, esta estadística tendrá sentido en el contexto del tráfico que esta pasando por ese enlace, el mensaje aquí es que hay que interpretar las estadísticas de acuerdo a su contexto.

Eso es todo por el momento, en al menos dos post futuros se discutiran más opciones para análizar estadísticas de la red con Wireshark.

Algunos recursos en Español

Una de las cosas que me he dado cuenta, al inicar la publicación de este blog, es que en realidad hay pocos recursos de buena calidad en Español relacionados con el tema principal de este blog o sea las redes, con esto no quiero decir que no hay, pero al menos no es tan abundante y de tan buena calidad como lo hay en Ingles, incluso en mi país, Guatemala, es hasta difícil encontrar libros publicados en Español, por eso, en muchas oportunidades he dado como referencias articulos, o sitios web en Ingles.

Sin embargo, en esta oportunidad si tengo un par de recursos en nuestro idioma, que pueden ser de interes y utilidad para los visitantes de este blog, se trata de el sitio Aprenda Redes y del blog Mis libros de newtworking (es el titulo del blog, no es que sean libros mios, valga la aclaración)

Aprenda redes, es un sitio que me parece apropiado para estudiantes, o técnicos que estan introduciendose al área de redes, tampoco tiene muchisima información, pero algo podrán encontrar que les ayude a aprender algo nuevo, entre los recursos que tuve la oportunidad de hojear, esta un video introductorio de wireshark, y algunos articulos sobre temas que pienso que pueden interesar a los lectores de este blog que buscan material basico, conceptos y algunas sugerencias para realizar mejor su trabajo como administradores de redes.

En cuanto al blog Mis libros de Networking, ya lo había mencionado en un post previo, este creo que proporciona información para usuarios un tanto más avanzados, con algunas noticias y análisis de tendencia y articulos técnicos muy buenos.

Una de las razones por las que comparto estos dos links (aunque es probable que algunos de ustededes ya los conozcan), es porque tienen algunos articulos que tocan temas sobre los que pienso publicar algo al respecto por ejemplo, el modelo OSI, que es un modelo conceptual de esos que resultan con mucha aplicación práctica a la hora de resolver problemas, o describir protocolos, o equipamiento de red, pues en aprenda redes hay una buena introducción al modelo OSI, aplicado a la resolución de problemas de red.

Nuevamente hago la invitación a los lectores del blog, si han encontrado sitios de interes, con información sobre Redes, en Español, compartanla, puede ser de beneficio para otros, pueden hacerlo dejando un comentario en este blog, o escribirme a lmunguia@soportederedes.com

Tampoco quiero dejar pasar la oportunidad de invitar a los lectores de este blog a dar sus sugerencias sobre los temas que les gustaría ver publicados, esto permitirá orientarnos a lo que realmente les interesa, tanto para los que quieren aprender algo nuevo, como para los que desean resolver un problema específico, nuevamente, pueden hacerlo a traves de un comentario, o enviandome un mensaje a la dirección indicada en el parráfo anterior.

(IN)SECURE Magazine - Una revista en PDF gratuita

El día de hoy quiero dedicar este pequeño post, para compartir un recurso que puede ser de interes para todos aquellos, que no pueden ignorar un stand de revistas, y siempre se detienen a hojearlas y probablemente salgan con una bajo el brazo (bueno, yo soy uno de esos, aunque en los ultimos años no he comprado muchas), creo que desde que descubri internet, en realidad ya no me hace mucho sentido comprar una revista.

La revista (IN)SECURE, es una revista muy interesante que discute temas de seguridad, no se exactamente la frecuencia de publicación, pero normalmente tienen unas 4 o 5 ediciones al año. Además de ser una revista muy interesenta, con articulos muy buenos, lo mejor es que esta disponible gratuitamente en Internet en formato PDF, y sin complicadas suscripciones.

Para obtenerla, unicamente tienes que ir al sitio http://www.insecuremag.com/ y listo ahí puedes bajar la versión más actual (en estos momentos la edición 12), y también en el archivo puedes encontrar todas las ediciones anteriores, con un breve listado de los titulos disponibles, así que si ves alguno de interes, puedes bajar esa edición específica.

La orientación de la revista es a temas de seguridad, así que si la seguridad informática es uno de tus temas de interes, no lo pienses más y baja algunas ediciones para hecharles un vistazo, pero aunque no te interesen tantos estos temas, pienso que en la administración de redes, la seguridad es un tema que no se puede ignorar.

La portada ilustrada en la parte superior de este post, corresponde a la edición 10, la portada de la edición 12 no me parecio apropiada, no se, hay algo que no me gusta de esa portada (y aquí estoy picando tu curiosidad para que vayas al sitio y le heches un vistazo :-), en todo caso, esta edición 10 es muy buena. Así que no lo pienses más, es una revista de seguridad informática, es gratuita y la puedes bajar ya!

El Iphone pone en evidencia vulnerabilidad en Access Points de Cisco

La semana pasada, leí sobre una noticia que me parecio muy interesante y que causo algun revuelo dada la popularidad que ha tenido el famoso iphone. La noticia en cuestión es aparentemente unos iphone estaban "botando" la red wireless de la Universidad de Duke, de acuerdo con personal técnico de esta universidad, el adaptador 802.11b/g integrado de los iphone estaban generando alrededor de 18000 peticiones ARP por segundo, lo que provocaba que los Access Point (todos basados en equipo Cisco) estuvieran fuera de servicio durante unos 10-15 minutos.

Inicialmente los dedos apuntaron al iphone, aunque entre las teorías elaboradas, también se señalaban como responsables a Cisco (obviamente impulsado por los fanáticos del iphone) y no falto quienes acusaran al personal técnico de la universidad de Duke. Algunas de estas sugerencias se pueden ver en el seguimiento que Network World hizo de la noticia.

Despúes de algunos días tratando de encontrar la causa, el culpable resulto ser una vulnerabilidad del controlador de Wireless de los access point, esto esto documentado en el Security Advisory cisco-sa-20070724-arp, hecho público el día de ayer, en el que se pueden encontrar los detalles sobre lo que provoca este problema, los equipos afectados y como solucionarlo.

La noticia en si, se presta para cualquier cantidad de análisis, el equipo IT de la Universidad de Duke, tuvo la fortuna de que su problema era tan visible que tanto Apple, como Cisco, no tuvieron más remedio que buscar una solución, en la vida real, creo que dificilmente vamos a poder contar con tanta atención pública así que es importante conocer lo que esta pasando en la red, y contar con proveedores confiables que sepan responder a la hora de una crisis.

En el análisis final, lo que pense que era una nota negra contra el iphone (algo que por alguna razón me hubiera alegrado), resulta siendo un problema con equipo Cisco, y esta noticia deja de ser una mera curiosidad y se convierte en algo que pienso que vale la pena considerar, especialmente para aquellos lectores del blog que cuentan con Access Point Cisco en su red, ya que esta vulnerabilidad puede ser aprovechada por usuarios maliciosos para provocar un ataque de denegación de servicio, el caso del iphone es accidental, pero en realidad creo que un atacante con la intención se puede valer de muchos medios para explotar esta vulnerabilidad.

Así que si tienes una red wireless basada en equipo cisco, sugiero dar un vistado al security advisory, para verificar si tus equipos son vulnerables y tomar las medidas correctivas necesarias.

Te parecio interesante la noticia?, tienes equipo wireless Cisco en tu red?, estas esperando ansiosamente que el iphone llegue a latinoamerica?, tus comentarios son bienvenidos!

Wireshark 101 - Time Display Format

En este post, voy a describir de manera breve, las opciones disponibles en Wireshark, para las referencias de tiempo, estas son de mucha utilidad a la hora de analizar los paquetes, de manera predeterminada Wireshark despliega el tiempo, tomando como referencia el tiempo en el que se inicio la captura, dependiendo de lo que estemos analizando, podría no haber necesidad de cambiar esto, sin embargo, cuando el tiempo de referencia es crítico, se necesitan otras formas de poder expresar el tiempo, y es lo que se analizara en este post.

Las opciones de tiempo, se encuentran en el menú View -> Time Display Format esto despliega un cuadro adicional donde se muestran las diferentes opciones que se describen a continuación

Date and Time of Day - Muestra la fecha y la hora, puede ser de utilidad, cuando le fecha y hora en la que ocurrio el evento son importantes, por ejemplo en análisis forense de paquetes.

Time of Day - Unicamente muestra la hora del día, para utilizarlo en casos en los que estamos analizando un evento que ocurre a determinadas horas del día

Seconds Since Beginning of Capture - Esta es la opción predeterminada, muestra el tiempo tomando como referencia el inicio de la captura.

Seconds Since Previous Captured Packet - Muestra el tiempo transcurrido tomando como referencia el paquete previo, es decir, muestra las diferencias de tiempo entre cada paquete capturado, muy útil para troubleshooting de problemas de desempeño en la red, ya que se puede identificar que equipos están respondiendo con tiempos altos.

Seconds Since Previous Displayed Packet - Sin filtros de visualización aplicados, no hay diferencia entre la opción anterior y esta, sin embargo, es de utilidad cuando tenemos aplicado un filtro ya que permite analizar diferencias de tiempo entre los paquetes que se están desplegando en pantalla.

Seconds Since Epoch - Muestra el tiempo transcurrido tomando como referencia inicial el 1 de enero de 1970, esta es una opción relativamente nueva en Wireshark, la verdad no le he utilizado antes, se me ocurre que puede ser de utilidad al comparar capturas en diferentes tiempos, ya que provee un tiempo de referencia común, puede ser de utilidad en análisis forenses.

Adicionalmente se puede variar la precisión de la medición de tiempo, en segundos, decimas de segundo, centesimas de segundo, milisegundos, microsegundos y nanosegundos.

Otra característica de mucha utilidad en la medición de tiempo, es la posibilidad de establecer referencias en puntos determinados, por ejemplo al inicio de una transferencia de archivos, o de una petición de una página web, para esto, selecccionar el paquete que queremos establecer como referencia y luego ir a menú Edit -> Time Reference (toggle) o alternativamente ctrl + T, la ventaja es que se pueden establecer diferentes referencias de tiempo, esta opción únicamente tiene sentido utilizarla con la opción Seconds Since Beginning of Capture, de hecho si esta selecciónada otra opción al tratar de establecer un Time Reference, aparece un cuadro de dialogo que da la opción de volvera setear Seconds Since Beginning of Capture.

Así que sin más, los invito (si no lo han hecho antes), a experimentar con los diferentes formatos de despliegue del tiempo, les aseguro que lo utilizarán con más frecuencia de lo que se imaginan, si has usado antes estas opciones y han encontrado combinaciones para despliegue de tiempo o escenarios en los que una combinación en particular puede ser de utilidad para otros lectores, pueden dejar un comentario, será bienvenido.

Como obtener la certificación CCNA

Nuevamente un post derivado de la consulta de un usuario, especificamente el amigo James desea saber donde obtener una buena capacitación que lo prepare para el CCNA, como respuesta, quisiera compartir como obtuve mi certificación hace algunos años, soy conciente de que cada caso es diferente, asi que no espero que mi experiencia se aplique a todos pero puede ser una guía para los interesados en tomar esta certificación.

De entrada quiero aclarar que no hay camino fácil para obtener esta certificación, por algo es una de las certificaciones respetadas en la industria, por otra parte, tampoco es algo extremadamente dificil o imposible, tampoco hay un solo camino para obtener la certificación (aunque todos los caminos, tienen que pasar por el mismo punto, léase el exámen de certificación).

En mi caso, me inicie en el mundo del networking, en la división de datacom, de una empresa de telecomunicaciones, en esta empresa conocí sobre Cisco, sobre los routers, los switches, y también sobre los conceptos fundamentales, estuve un año en esta empresa, cumpliendo con un año de práctica obligatorio por la universidad en la que estudie, durante ese año, inverti muchas horas navegando por el sitio de Cisco y también tuve la experiencia práctica configurando equipos.

Esta experiencia me abrio las puertas, para trabajar administrado la red para un organismo estatal, la red estaba basada en equipo cisco, así que ahí tuve la oportunidad de seguir experimentando, trabajando aquí también se presento la oportunidad de recibir la capacitación oficial de Cisco de 40 horas, que en aquel entonces, era la capacitación necesaria para certificarse, la capacitación incluia un libro muy bueno de Todd Lammle (uno de los autores más vendidos de guías de certificación para examenes de Cisco), sin embargo, en esos momentos, no tuve la oportunidad de presentar el examen de certificación.

Aproximadamente un año despues de haber recibido la capacitación, y trabajando para otra empresa, se presento la oportunidad (y la necesidad) de certificarme, ya que era requerido por la empresa para la que trabajaba, asi que desempolve la guía de estudio que mencione en el parrafo anterior y con una semana de estudio estaba listo para el examen, esta guía de estudio incluia un cd, con examenes de prueba, eso me ayudo mucho para comprobar que realmente estaba listo para el examen.

Así que de mi experiencia, creo que los pasos para obtener la certificación CCNA se pueden resumir así:

1. Tener experiencia práctica y un background general en aspectos de networking
2. Si es posible, recibir una capacitación formal (creo que no es estrictamente necesario, pero indudablemente ayuda).
3. Conseguir una buena guía de estudio para repasar los conceptos fundamentales.
4. Practicar con simuladores de examen para comprobar que se esta listo, o repasar las áreas debiles.

Ahora, comprendo que no todos han seguido el mismo camino, o tienen intereses diferentes al perseguir la certificación, así que a continuación algunas recomendaciones adicionales.

Si no es posible obtener experiencia práctica, mi recomendación es conseguir un simulador y practicar con redes simuladas, de hecho aunque se tenga experiencia práctica, no esta de más el uso de estos simuladores, ya que se pueden practicar muchos escenarios que no se ven comunmente en la vida real, por ejemplo, en mi caso, que me he orientado más a redes LAN, tengo pocas oportunidades de configurar protocolos de ruteo, esto se puede complementar muy bien con un simulador.

Para los que son principiantes absolutos creo que la mejor opción es una Academía de Cisco (como lo sugiere otro lector), son cuatro semestres, para mi es muy largo, pero para quien se esta iniciando, creo que proporciona los fundamentos sólidos para entrar al área de redes, la certificación ya será solo un paso adicional.

A continuación algunos Links donde se puede obtener más información

Cisco Technical documentation - Este sitio esta siendo migrado por cisco a una nueva área, sin embargo, en la forma como aparece en esta página, es como empece a conocer sobre cisco y sobre las tecnologías fundamentales, así que considero que es un buen punto de entrada.


Cisco Press - La editorial de Cisco, que de acuerdo con ellos, tienen las guías de estudio autorizadas para los examenes de certificación.


Global Net Training - Una empresa de Todd Lammle (si el gurú de las certificaciones Cisco), en la que ofrece capacitaciones, libros, examenes de práctica y muchos recursos, hay algunas versiones demo que se pueden bajar.


Cisco Network Academy - Para encontrar información sobre este programa de Cisco, si deseas buscar una academía cerca de tu ciudad, puedes buscar aquí.


Boson - Simuladores de equipo y de examenes, también opciones de capacitación.


Router Sim - Otro simulador de equipos, videos y recursos adicionales


Mis libros de networking - Un blog en español, que puede tener información relevante, hay un articulo interesante, que describe los contenidos que se evaluan en el examen de certificación, según vi en el sitio, el autor ha publicado algun material de preparación para el CCNA, asi que puede ser muy valioso.


Lamentablemente, creo que tampoco hay una forma "barata" o de bajo costo, tal vez la unica excepción es cuando se trabaja para una empresa, que decide certificar a sus empleados, y estas oportunidades hay que aprovecharlas, de lo contrario, pues si tendrá un costo, pero vale la pena la inversión.

Como siempre, invito a los lectores del blog a expresar sus opiniones, sería interesante conocer la experiencia de otros que estan preparandose para la certificación, o que ya la obtuvieron, o que han tenido la oportunidad de estar en una academia de Cisco, considero que es un buen programa, pero lo mejor sería la opinión de alguien que esta actualmente estudiando en una de ellas.

Verificando conectividad con Tracert

Recientemente, un lector del blog, me pidio comentar sobre como interpretar los resultados de algunas de las herramientas disponibles desde la línea de comandos, como tracert, route, arp. En respueta le prometi publicar algo al respecto y quiero iniciar con el comando tracert, un comando de mucha utilidad y que junto a ping es uno de los que más utilizo en mi trabajo diario.

En primer lugar me gustaría explicar un poco que es el comando tracert y como funciona, finalmente como podemos interpretar sus resultados y algunos escenarios en los que tracert nos puede ayudar a diagnosticar y resolver problemas en la red.

El comando tracert permite trazar la ruta desde el origne hasta un destino remoto, mostrando todos los routers que hay de por medio y la latencia aproximada en cada salto, esta disponible en la mayoria de sistemas operativos, en windows se le conoce como tracert, en linux y en el IOS de cisco se le conoce como traceroute. En este post se da mayor enfásis a la versión de windows.

Para encontrar los routers intermedios, el tracert se vale de la opción time to live (TTL) de los paquetes IP, el TTL es un campo dentro de un paquete IP que fue diseñado para prevenir loops de enrutamiento (routing loops), una red mal diseñada a con problemas puede generar un loop, en el que un paquete va y viene entre dos routers, para prevenir que un paquete quede atrapado en un loop infinitamente, cada router que recibe un paquete es responsable de reducir el TTL en uno, cuando un router recibe un paquete con TTL de 0, lo descarta y debe responder con un paquete icmp tipo 11 (time to live exceeded).

En base a lo anterior, para encontrar la ruta hacia un destino, el comando tracert lo que hace es generar pings sucesivos hacia el ip destino, con valores de TTL que se van incrementando, el primer paquete ping generado tiene un TTL=1 por lo que el primer router que lo recibe lo descarta y devuelve un paquete icmp tipo 11, en este paquete de respuesta, el ip de destino es el de este primer router, así que ya tenemos la dirección del primer router, en realidad windows genera tres paquetes de ping con ttl=1 y de esta manera produce la salida ya conocida del tracert con tres columnas, los siguientes tres paquetes de ping generados tienen valor TTL=2, con lo que el que respondera será el segundo router, este proceso continua, hasta que se obtiene un icmp echo reply, que es el del destino, en el que estamos interesados.

En la siguiente figura, se ilustra el resultado de un tracert hacia google.com, en este caso el destino esta a 15 saltos, como mencione en el parrafo previo, siempre se generan tres solicitudes de ping, por lo que para cada salto tenemos tres resultados, esto ayuda a determinar la latencia promedio entre cada router, de manera predeterminada windows también trata de resolver el nombre, por lo que en algunos casos además del IP, aparece el nombre del router.


Ahora, volviendo a la pregunta original, como interpretar la salida del tracert, escencialmente lo que nos dice este comando, es los routers que debemos atravezar hacia el destino, para cada caso nos proporciona el IP (y en algunos casos el nombre) de los routers intermedios, y también nos da un estimado de la latencia.

Cuando utilizar tracert?, supongamos que no podemos llegar hasta un sitio remoto, si hacemos un ping hacia la dirección de este sitio y no responde, el siguiente paso es un tracert, el cual determinara el punto donde se deja de recibir una respuesta, puede ser un router local, o un router en el camino, el tracert nos dirá cual es el router con problemas.

Lo anterior es el uso más común del tracert, pero hay otros, suponiendo que el tiempo de respuesta es muy lento, un tracert puede ayudar a determinar el punto donde se está experimentando alta latencia y en base a este resultado investigar más a fondo, otro uso interesante, es por ejemplo en una red privada en la que se tiene más de una vía de llegada, por ejemplo un enlace principal y otro de backup, un tracert nos puede decir de manera rápida si estamos llegando al sitio a través del enlace principal, o del enlace de contingencia.

También me gustaría hacer algunas advertencias, algunos routers bloquean el paso del tracert, por lo que los resultados no siempre son confiables, especialmetne al trazar rutas en internet, de igual manera algunos routers dan baja prioridad a los paquetes icmp, por lo que los resultados de latencia no siempre van a ser confiables.

Creo que la mayor utilidad del tracert esta en una red privada, donde podemos establecer el comportamiento normal de la red, que saltos tenemos hacia el destino, que latencias aproxiamadas tenemos, en estos casos, a la hora de tener problemas, el tracert es una herramientas invaluable.

Para ver las opciones disponibles en la línea de comando, favor consultar el siguiente documento para un troubleshooting más avanzado, también se puede utilizar el comando pathping, y si te interesa ver como funciona el tracert en la vida real, te sugiero capturar tráfico en tu máquina utilizando wireshark en el momento de hacer un tracert, el resultado habla por si solo.

Wireshark 101 - Capturando tráfico utilizando una maquina en medio

Una de las claves en el uso de Wireshark, es donde ubicarlo para poder capturar tráfico, en el artículo Wirshark 101 – Como capturar tráfico, se describen tres opciones dependiendo de lo que se tenga disponible, un hub, un switch administrable o un network tap.

Los anteriores, no son los únicos métodos de capturar tráfico, en el Wiki de Wireshark se describen algunos más y en esta oportunidad quisiera profundizar en uno de estos métodos, capturar tráfico, utilizando una maquina en medio (MIM - Machine in the Middle), utilizando la opción de conexión de puentes (bridging) de Windows XP.

Con este método, una laptop con dos tarjetas de red, se convierte en un puente (bridge), o en otras palabras en un switch de dos puertos, y podremos ver el tráfico que pasa a través de cada tarjeta, y capturarlo con Wireshark, este escenario esta ilustrado en la siguiente figura.

En la figura anterior, en a, se ilustra un escenario muy común, desaeamos analizar el tráfico entre una PC, y un servidor, que estan conectadas a través de un switch no administrable (o es un switch administrable, pero no tenemos acceso a configurarlo o no soporta el port mirroring), la primera opción sería instalar el wireshark en la pc, o en el servidor, pero en muchos casos esto no es posible, en esta situación, podemos utilizar las conexiones de puente de XP, en una laptop con dos tarjetas de red, en este caso, la laptop se convierte escencialmente en un switch de dos puertos, el unico requisito es que el switch tenga dos puertos ethernet, en mi caso, probe la configuración en una laptop con un ethernet integrado, y una tarjeta pcmcia.

La configuración de esta solución es bastante sencila, se ingresa a conexiones de red, se seleccionan las dos tarjetas con las que se hará el puente, se da un click con el botón derecho y en el menú emergente, se selecciona, conexiones de puentes (o bridge connections si el OS está en ingles), al dar este click aparece el siguiente mensaje.

Despues de unos segundos, nuestro puente esta listo, y lo podemos comprobar ya que en conexioines de red, muestra un nuevo elemento, como se ilustra en la siguiente figura.

Finalmente, debemos configura wireshark para poder capturar el tráfico en esta interface virtual, en las opciones de captura de wireshark, el puente aparece como una interface adicional, en la siguiente figura, la interface del puente es la marcada como Microsoft MAC Bridge Virtual NIC, capturando en modo promiscuo con esta interface, se podrá ver el tráfico que pasa de una tarjeta a otra, en otras palabras, el tráfico que queremos capturar.

Luego de la captura, podemos desactivar el puente, (click derecho sobre el icono del puente en conexiones de red y click en desactivar), o eliminarlo definitivamente (click derecho y luego la opción eliminar).

La opción de conexiones de puentes, esta disponible en Windows XP y Windows 2003, supongo que también en Windows Vista, pero no he tenido la oportunidad de verificarlo, si deseas conocer más sobre este opción y diferentes usos prácticos para una red casera, puedes consultarlo directamente en el sitio de Microsoft.