Site icon bintorosoft.com

Wireshark-Tutorial: HTTP, DNS, TCP-Handshake identifizieren

Red Snapper

Dieses Wireshark-Tutorial zeigt Ihnen praxisnah, wie Sie in einem Mitschnitt zuverlässig HTTP, DNS und den TCP-Handshake identifizieren. Wireshark ist dabei mehr als ein „Paket-Viewer“: Mit den richtigen Filtern, etwas Struktur und einem klaren Blick auf typische Muster erkennen Sie in wenigen Minuten, ob eine Verbindung überhaupt zustande kommt, ob die Namensauflösung funktioniert und ob eine Web-Anfrage korrekt beantwortet wird. Gerade für Einsteiger wirkt ein Capture zunächst unübersichtlich, weil in modernen Netzwerken ständig Hintergrundverkehr läuft. In der Praxis reicht jedoch oft ein kleines Set an Vorgehensweisen: Sie grenzen den Mitschnitt auf die passende Netzwerkkarte ein, filtern nach IPs, Ports oder Protokollen und prüfen dann Schritt für Schritt die Reihenfolge der Ereignisse. Genau das lernen Sie hier: Wie sieht ein TCP-Verbindungsaufbau in Wireshark aus, woran erkennen Sie DNS-Queries und DNS-Responses, und wie unterscheiden Sie HTTP-Requests von HTTP-Responses – inklusive typischer Fehlerbilder wie Timeouts, NXDOMAIN, Retransmissions oder Reset-Paketen. Am Ende können Sie Web-Traffic gezielt „lesen“, ohne im Datenstrom zu ertrinken.

Vorbereitung: Capture sauber starten, damit die Analyse stimmt

Bevor Sie nach HTTP, DNS oder einem TCP-Handshake suchen, stellen Sie sicher, dass Sie auf dem richtigen Interface mitschneiden. Auf vielen Systemen existieren mehrere Adapter: WLAN, Ethernet, VPN, virtuelle Interfaces oder Container-Netze. Der häufigste Anfängerfehler ist ein Capture auf dem falschen Adapter – die Folge ist ein scheinbar „leerer“ Mitschnitt oder Traffic, der nicht zum Problem passt.

Eine gute Einstiegsquelle ist der Wireshark User’s Guide, insbesondere die Abschnitte zu Capture-Optionen und Filterlogik.

Wireshark-Oberfläche verstehen: Wo Sie HTTP, DNS und TCP finden

Wireshark teilt die Ansicht typischerweise in drei Bereiche. Wenn Sie diese drei Paneele bewusst nutzen, finden Sie Protokolle deutlich schneller.

Wichtig: Wireshark ordnet Protokolle nicht „nach Lehrbuch“, sondern dekodiert die tatsächliche Kette. Für Webzugriffe ist das häufig Ethernet → IP → TCP → TLS/HTTP. DNS läuft meist über UDP (Port 53), manchmal über TCP (z. B. bei großen Antworten oder Zone-Transfers).

Die schnellste Methode: Mit Display Filtern gezielt eingrenzen

In einem realen Netzwerk ist der Capture voll mit Hintergrundverkehr. Der Display Filter ist Ihr Hauptwerkzeug, um nur das zu sehen, was Sie interessiert. Nutzen Sie ihn wie eine Suchmaschine für Pakete.

Die offizielle Referenz für Display Filter ist sehr hilfreich, wenn Sie gezielter werden möchten: Wireshark Display Filter Reference.

TCP-Handshake identifizieren: SYN, SYN/ACK, ACK sicher erkennen

Der TCP-Handshake ist die Grundlage für viele Diagnosen. Wenn er nicht klappt, ist HTTP meistens „Folgefehler“. Ein normaler Handshake besteht aus drei Schritten:

Praktische Filter für Handshake-Pakete

Handshake-Fehlerbilder, die Sie sofort erkennen können

Für RST-Pakete nutzen Sie den Filter tcp.flags.reset == 1. Wenn Sie zusätzlich Retransmissions sehen (tcp.analysis.retransmission), deutet das auf Paketverlust, Überlast oder Funkprobleme (WLAN) hin.

DNS identifizieren: Queries, Responses und typische Fehlercodes

DNS ist der „Startschuss“ vieler Webzugriffe: Erst wenn ein Domainname in eine IP-Adresse aufgelöst wurde, kann ein TCP-Handshake zum Ziel aufgebaut werden. In Wireshark erkennen Sie DNS am einfachsten mit dem Filter dns. Anschließend prüfen Sie pro DNS-Transaktion, ob eine passende Antwort kommt.

Wichtige DNS-Felder im Packet Details-Baum

DNS-Fehlerbilder, die Sie in Wireshark schnell diagnostizieren

Wenn Sie DNS-Verkehr nur für einen Hostnamen sehen möchten, können Sie im Filter nach dem Namen suchen, zum Beispiel: dns.qry.name contains “example.com”. Das ist besonders hilfreich, wenn viele Geräte parallel DNS nutzen.

HTTP identifizieren: Request, Response und Statuscodes verstehen

HTTP ist auf Port 80 unverschlüsselt und daher in Wireshark direkt lesbar. Sie erkennen HTTP-Pakete am Filter http oder häufig schon in der „Protocol“-Spalte. Öffnen Sie dann im Detailbereich den HTTP-Block und achten Sie auf Method, Host, URI und Statuscodes.

HTTP-Requests erkennen

HTTP-Responses erkennen

Wichtiger Hinweis zu HTTPS

Viele Webseiten verwenden HTTPS (Port 443). Dann sehen Sie ohne Entschlüsselung in der Regel keinen HTTP-Inhalt, sondern TLS. In einem reinen HTTPS-Capture erkennen Sie zwar den TCP-Handshake und den TLS-Handshake, aber nicht die HTTP-Header. Für Labor- oder Debug-Szenarien ist eine kontrollierte TLS-Entschlüsselung möglich (z. B. via Key Log File), allerdings nur mit entsprechender Berechtigung und unter Einhaltung von Datenschutz- und Sicherheitsvorgaben. Hilfestellungen dazu finden Sie in der Wireshark-Dokumentation.

Ein praxisnaher Ablauf: Von DNS zu TCP zu HTTP in der richtigen Reihenfolge

Wenn Sie eine Website öffnen und den Ablauf nachvollziehen möchten, hat sich diese Reihenfolge bewährt. Sie verhindert, dass Sie sich in Details verlieren, obwohl die Ursache weiter unten liegt.

In Wireshark können Sie diesen Ablauf besonders schnell prüfen, wenn Sie die Display Filter nacheinander anwenden: zuerst dns, dann tcp.flags.syn == 1 (oder tcp) und schließlich http.

Konkretes Beispiel: „Webseite lädt nicht“ in 3 Minuten eingrenzen

Angenommen, ein Nutzer meldet: „Die Seite öffnet nicht.“ Sie starten einen kurzen Capture und führen den Seitenaufruf einmal durch. Danach gehen Sie so vor:

So erkennen Sie sehr schnell, ob die Ursache in DNS, Transport oder Anwendung liegt.

„Follow Stream“ richtig nutzen: HTTP-Sitzungen nachvollziehen

Bei unverschlüsseltem HTTP ist „Follow TCP Stream“ eine der effektivsten Funktionen, um den gesamten Request-Response-Dialog in einem Fenster zu sehen. Klicken Sie dazu ein HTTP-Paket an, dann:

Wireshark zeigt Ihnen dann den kompletten Datenstrom (Client/Server farblich getrennt). Das ist ideal, um Redirect-Ketten, Header oder Fehlermeldungen im Body zu prüfen. Bei HTTPS ist diese Funktion ohne Entschlüsselung meist nur begrenzt hilfreich, weil die Payload verschlüsselt ist.

Timing verstehen: Handshake- und DNS-Latenzen sauber interpretieren

Viele Probleme sind nicht „komplett kaputt“, sondern „zu langsam“. Wireshark bietet Zeitstempel pro Paket. Besonders nützlich sind die Differenzen zwischen DNS Query und DNS Response sowie zwischen TCP SYN und SYN/ACK (als grober RTT-Indikator). Eine einfache Umrechnung, die in der Praxis häufig gebraucht wird, ist Sekunden zu Millisekunden:

t (ms) = t (s) × 1000

Wenn Sie also eine Delta-Zeit von 0,180 s sehen, entspricht das 180 ms. Für DNS sind 10–50 ms im lokalen Netz häufig unauffällig, während mehrere hundert Millisekunden oder Timeouts verdächtig sind (abhängig von Umgebung, VPN, Mobilfunk und Resolver-Architektur).

Häufige Stolpersteine in Wireshark und wie Sie sie vermeiden

Wireshark ist sehr präzise, aber Ihr Blick auf die Daten kann durch typische Effekte verfälscht werden. Diese Fallstricke begegnen in der Praxis besonders oft:

Praktische Filter-Sammlung für den Alltag

Diese Filter decken die meisten Einsteiger- und Mittelstufenfälle ab und helfen Ihnen, HTTP, DNS und den TCP-Handshake zielsicher zu identifizieren:

Statistiken nutzen: Conversations und Endpoints als Turbo

Wenn Sie nicht wissen, welche Hosts gerade relevant sind, helfen Wireshark-Statistiken enorm. Besonders nützlich sind:

Damit finden Sie oft schneller die relevante Verbindung, als wenn Sie von Hand durch die Packet List scrollen.

Weiterführende Quellen

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version