이 랩에서는 실습을 통해 Wireshark 의 Tshark 유틸리티를 사용하여 DNS 쿼리를 문제 해결하는 방법을 배우게 됩니다. "udp port 53" 필터를 사용하여 DNS 트래픽을 캡처하고, "dns.qry.name"과 같은 디스플레이 필터를 사용하여 쿼리를 분석하며, "dns,tree" 옵션을 사용하여 타이밍 통계를 검토합니다.
이 랩은 DNS 패킷을 격리하고, 쿼리 타이밍을 시각화하며, "-V" 플래그를 사용하여 상세한 패킷 정보를 추출하는 실용적인 기술을 안내합니다. 이러한 실습을 완료함으로써 전문적인 패킷 분석 방법을 사용하여 DNS 문제를 진단하는 데 필요한 필수 기술을 개발할 수 있습니다.
이 단계에서는 Wireshark 의 캡처 필터를 사용하여 DNS 트래픽을 캡처하는 방법을 배우게 됩니다. DNS (Domain Name System, 도메인 네임 시스템) 는 인터넷의 전화번호부와 같아서, 사람이 읽을 수 있는 도메인 이름 (예: example.com) 을 기계가 읽을 수 있는 IP 주소로 변환합니다. 대부분의 DNS 쿼리는 작고 빠르기 때문에 UDP 포트 53 을 사용하며, 더 큰 응답은 TCP 를 사용할 수 있습니다.
먼저, 아직 LabEx VM 에서 터미널을 열지 않았다면 엽니다. 모든 명령은 기본 작업 디렉토리 ~/project에서 실행됩니다. 이곳에 캡처 파일을 저장합니다.
다음 명령으로 터미널에서 Wireshark 를 실행합니다.
wireshark && 기호는 Wireshark 를 백그라운드에서 실행하여 Wireshark 가 열린 상태에서 터미널을 계속 사용할 수 있도록 합니다. 이는 네트워크 분석 중에 다른 명령을 실행해야 할 때 유용합니다.
Wireshark 의 메인 인터페이스에서:
eth1) 를 선택합니다. 이렇게 하면 Wireshark 가 모니터링할 네트워크 연결을 지정합니다.udp port 53. 이 필터는 Wireshark 가 DNS 트래픽만 캡처하도록 하여 다른 네트워크 활동으로 인한 혼란을 줄입니다.테스트를 위해 DNS 트래픽을 생성하려면 다른 터미널을 열고 다음을 실행합니다.
nslookup example.com이 명령은 시스템에 "example.com"의 IP 주소를 조회하도록 요청하여 캡처하려는 DNS 트래픽을 생성합니다. 이는 모니터링이 제대로 작동하는지 확인하기 위한 테스트 호출과 같습니다.
Wireshark 에서 캡처된 DNS 패킷을 볼 수 있습니다. 이들은 메인 창에 쿼리와 응답을 일반적으로 표시하는 줄로 나타납니다. 충분한 트래픽을 확인했으면 빨간색 사각형 버튼을 클릭하여 캡처를 중지합니다.
나중에 분석할 수 있도록 캡처 파일을 저장합니다.
~/project 디렉토리에 dns_capture.pcapng로 저장합니다. 이 파일 형식은 자세한 검사를 위해 모든 원본 패킷 데이터를 보존합니다.이해해야 할 주요 사항:
-f "udp port 53"은 DNS 트래픽만 기록하는 캡처 필터로, DNS 대화만 듣는 특수 마이크를 설정하는 것과 유사합니다.이 단계에서는 디스플레이 필터를 사용하여 Wireshark 에서 DNS 쿼리를 필터링하는 방법을 배우게 됩니다. DNS (Domain Name System, 도메인 네임 시스템) 는 인터넷의 전화번호부와 같아서, 사람이 읽을 수 있는 도메인 이름을 기계가 읽을 수 있는 IP 주소로 변환합니다. 네트워크 문제를 해결할 때 DNS 트래픽을 검사하면 중요한 단서를 얻을 수 있습니다.
dns.qry.name 필드에 집중할 것입니다. 이 필드는 DNS 쿼리에서 요청되는 도메인 이름을 구체적으로 보여줍니다. 이는 이전 단계에서 생성한 캡처에서 특정 웹사이트 또는 서비스와 관련된 트래픽을 검사해야 할 때 특히 유용합니다.
&는 명령을 백그라운드에서 실행하므로 터미널을 계속 사용할 수 있습니다.wireshark ~/project/dns_capture.pcapng &dns.qry.name == "example.com"이 엄격한 일치 필터 (==) 는 쿼리된 도메인이 "example.com"과 정확히 일치하는 패킷만 표시합니다.
dns.qry.name이렇게 하면 DNS 쿼리 이름을 포함하는 모든 패킷이 표시되어 네트워크에서 어떤 도메인이 조회되는지 이해하는 데 도움이 됩니다.
dns.flags.response == 0 || dns.flags.response == 1여기서 dns.flags.response == 0은 쿼리 (요청) 를 표시하고, dns.flags.response == 1은 응답을 표시합니다.
dns.qry.name contains "example"이렇게 하면 "example.com", "test.example.org" 또는 "example.net"과 같이 "example"을 포함하는 모든 도메인이 일치합니다.
이해해야 할 주요 사항:
-Y는 Wireshark 의 디스플레이 필터 옵션입니다 (필터 바에 입력하는 것과 동일).dns.qry.name은 쿼리되는 도메인 이름을 포함하는 DNS 패킷의 특정 필드입니다.==!=containsresponse == 0) 와 응답 (response == 1) 을 구분하는 플래그가 포함되어 있습니다.DNS (Domain Name System, 도메인 네임 시스템) 는 인터넷의 전화번호부와 같아서, 사람이 읽을 수 있는 도메인 이름을 기계가 읽을 수 있는 IP 주소로 변환합니다. 네트워크 문제를 해결할 때 DNS 응답 시간을 분석하면 성능 병목 현상을 파악할 수 있습니다. 이 단계에서는 Wireshark 의 내장 통계 기능과 -z dns,tree 옵션을 사용하여 DNS 서버가 쿼리에 얼마나 빨리 응답하는지 측정합니다.
&는 Wireshark 가 실행되는 동안 터미널을 사용할 수 있도록 합니다.wireshark -z dns,tree ~/project/dns_capture.pcapng &"DNS Statistics"라는 새 창이 열리고 트리 구조로 세 가지 주요 정보가 표시됩니다.
통계 열을 자세히 살펴보겠습니다.
분석에서 더 흥미로운 데이터를 보려면 새로운 DNS 쿼리를 생성해 보겠습니다. 새 터미널 창을 열고 다음 일반적인 조회 명령을 실행합니다.
nslookup google.com
nslookup labex.io기억해야 할 주요 개념:
-z dns,tree 명령은 Wireshark 의 특수 DNS 분석 모드를 활성화합니다.이 단계에서는 -V 옵션을 사용하여 Wireshark 의 상세 모드로 DNS 패킷을 자세히 검사하는 방법을 살펴보겠습니다. DNS 문제를 해결할 때 네트워크 트래픽에서 정확히 무슨 일이 일어나고 있는지 이해하려면 모든 프로토콜 세부 정보를 확인하는 것이 중요합니다.
wireshark -V -r ~/project/dns_capture.pcapng &-V 플래그는 Wireshark 에 상세 출력을 표시하도록 지시하여 기본 패킷 요약 대신 사용 가능한 모든 프로토콜 정보를 표시합니다.
Wireshark 인터페이스에서 "Packet Details"라는 중간 패널에 집중하십시오. DNS 정보를 검사하는 방법은 다음과 같습니다.
DNS 쿼리 패킷 (일반적으로 클라이언트에서 서버로 전송됨) 을 볼 때 다음 사항에 특히 주의하십시오.
DNS 응답 패킷 (서버에서 클라이언트로) 의 경우 다음 중요한 필드를 확인하십시오.
나중에 검토하거나 동료와 공유하기 위해 이 상세 분석을 저장하려면 다음 명령을 실행하십시오.
tshark -V -r ~/project/dns_capture.pcapng > ~/project/dns_analysis.txt이렇게 하면 캡처에서 모든 상세 출력을 포함하는 텍스트 파일이 생성됩니다.
기억해야 할 주요 개념:
-V 옵션은 각 패킷의 전체 프로토콜 분석을 보여줍니다.dns) 와 결합하여 전체 세부 정보를 유지하면서 특정 패킷에 집중할 수 있습니다.이 랩에서는 Wireshark 의 Tshark 유틸리티를 사용하여 DNS 쿼리를 문제 해결하는 방법을 배웠습니다. 이 연습에서는 UDP 포트 53 필터를 사용하여 DNS 트래픽을 캡처하고 dns.qry.name과 같은 대상 표시 필터를 통해 쿼리를 분석하는 방법을 보여주었습니다.
nslookup으로 테스트 트래픽을 생성하고 분석을 위해 캡처를 저장하는 연습을 통해 DNS 프로토콜 동작과 특정 도메인 요청을 격리하기 위한 Wireshark 의 강력한 필터링 기능에 대한 통찰력을 얻었습니다. 이러한 기술은 네트워크 문제 해결 및 DNS 관련 조사에 필수적입니다.
