6.2. Wireshark: El Microscopio de la Red Industrial

UF1794 | Captura y Análisis de Paquetes en Modo Promiscuo

graph TD subgraph Red_Planta ["Red de Planta"] PLC["PLC"] <--> Switch HMI["HMI"] <--> Switch end subgraph Analisis ["Estación de Análisis"] PC["PC con Wireshark"] --"Puerto Espejo (Mirror Port)"--> Switch end Trama["Trama PLC -> HMI"] Copia["Copia de la Trama"] PLC -- Trama --> Switch Switch -- Trama --> HMI Switch -- Copia --> PC style PC fill:#f39c12,color:white style Trama fill:#27ae60,color:white style Copia fill:#e67e22,color:white

1. ¿Qué es Wireshark?

Wireshark es un analizador de protocolos de red, la herramienta de diagnóstico más potente y universal que existe. Para un técnico de UF1794, Wireshark es como un microscopio: nos permite ver con un detalle absoluto todo lo que viaja por un cable de red, desde las cabeceras Ethernet de Capa 2 hasta los datos de aplicación de un telegrama PROFINET en Capa 7.

Es una herramienta indispensable para resolver problemas complejos: ¿por qué un dispositivo pierde la comunicación de forma intermitente? ¿Está la red saturada? ¿Hay un equipo enviando paquetes erróneos? Wireshark tiene la respuesta, pero para usarlo correctamente, primero hay que entender cómo "escucha" la red.



2. El Modo Normal de una Tarjeta de Red

Por defecto, una tarjeta de red (NIC) es "egoísta" y eficiente. Cuando un paquete llega a su puerto físico, el hardware de la tarjeta mira la dirección MAC de destino. Si esa MAC no es la suya propia (o la dirección de broadcast), la tarjeta descarta el paquete inmediatamente a nivel de hardware, sin ni siquiera molestar a la CPU del ordenador. Esto es una optimización vital para que el procesador no se sature analizando tráfico que no le concierne.

Esto implica que si conectas tu portátil a un switch, por defecto solo verás el tráfico que va dirigido a ti y el tráfico de broadcast general. No verás la conversación privada entre el PLC y el variador de frecuencia que están en otros puertos.



3. El Modo Promiscuo: Escuchando Conversaciones Ajenas

Para poder analizar una red, necesitamos que nuestra tarjeta de red deje de ser "egoísta". Al iniciar una captura, Wireshark (con permisos de administrador) le pide al driver de la tarjeta de red que entre en modo promiscuo. En este modo, la tarjeta desactiva su filtro de hardware y empieza a aceptar y enviar a la CPU absolutamente todos los paquetes que ve en el cable, sin importar a quién vayan dirigidos.

Activar el modo promiscuo es el primer paso y el más fundamental para cualquier análisis de red. Sin él, Wireshark estaría prácticamente ciego.



4. La Interfaz de Wireshark: Los Tres Paneles

La interfaz de Wireshark puede parecer abrumadora, pero se divide en tres paneles lógicos que un técnico debe dominar:

  1. Lista de Paquetes (Packet List): Es el panel superior. Muestra un resumen de cada paquete capturado en orden cronológico: número, tiempo, IP de origen, IP de destino, protocolo y un breve resumen del contenido. Aquí es donde buscamos y filtramos los paquetes que nos interesan.
  2. Detalles del Paquete (Packet Details): Es el panel intermedio. Al seleccionar un paquete de la lista, este panel nos muestra una vista de árbol con todas las capas del modelo OSI decodificadas. Podemos expandir la capa Ethernet para ver las MACs, la capa IP para ver las IPs, la capa TCP para ver los puertos, y (si Wireshark lo soporta) la capa de aplicación para ver los datos de PROFINET o Modbus.
  3. Bytes del Paquete (Packet Bytes): Es el panel inferior. Muestra la "verdad absoluta": los datos crudos del paquete en formato hexadecimal y su representación en texto ASCII. Es la vista de más bajo nivel, útil para encontrar patrones o datos que Wireshark no ha sabido decodificar.

La habilidad de un buen diagnosticador reside en saber moverse entre estos tres paneles para correlacionar un problema (ej. "el motor no arranca") con un dato específico en un paquete (ej. "el bit de Start en el telegrama PROFINET está a 0").

Interfaz de Wireshark con sus tres paneles principales: Lista de Paquetes, Detalles del Paquete y Bytes del Paquete.
Figura 1: La interfaz de Wireshark. 1) Panel de Lista de Paquetes: Resumen cronológico. 2) Panel de Detalles del Paquete: Desglose por capas del protocolo. 3) Panel de Bytes del Paquete: Los datos en formato hexadecimal.
Fuente: Elaboración propia / Licencia: CC BY-NC 4.0.

📝 Evaluación Técnica: Análisis de Paquetes

1. ¿Qué es el "modo promiscuo" de una tarjeta de red y por qué es esencial para utilizar Wireshark?

2. Conectas tu portátil a un puerto normal de un switch industrial. En la misma red, un PLC y una HMI están intercambiando datos constantemente. Al iniciar una captura en Wireshark, ¿qué tráfico verás?

3. Estás analizando una trama PROFINET en Wireshark y necesitas ver el valor exacto del "Frame ID" en formato hexadecimal. ¿En qué panel de la interfaz de Wireshark buscarías esta información?

🤖 Ejercicio Práctico 6: Sniffer Básico con Scapy

Objetivo: Entender cómo un programa puede capturar tráfico de red y empezar a interpretarlo.

Copia el siguiente *prompt* y pégalo en un modelo de IA (como ChatGPT, Gemini o Claude).

Actúa como un analista de redes. Escribe un script en Python que utilice la librería `scapy` para actuar como un simple sniffer de red. El script debe: 1. Importar las funciones necesarias de `scapy`. 2. Definir una función `packet_callback(packet)` que será llamada por cada paquete capturado. 3. Dentro de la función, debe comprobar si el paquete tiene una capa IP. Si la tiene, debe imprimir un resumen formateado: `[IP] Origen: {ip_origen} -> Destino: {ip_destino}`. 4. Si no tiene capa IP (ej. un paquete ARP o PROFINET RT), debe imprimir un resumen de capa 2: `[L2] Origen: {mac_origen} -> Destino: {mac_destino}`. 5. Iniciar la captura (sniff) llamando a la función de callback y activando el modo promiscuo (`prn=packet_callback, store=0, promisc=1`). Comenta el código explicando por qué la comprobación `packet.haslayer(IP)` es crucial para evitar errores al intentar acceder a campos que no existen en todas las tramas.