Wireshark to narzędzie, które pozwala między innymi wyświetlić i analizować wiadomości wysłane przez karty sieciowe.
W tym celu, po uruchomieniu należy wybrać kartę i rozpocząć przechwytywanie. Następnie wyświetli się lista przechwyconych wiadomości. Zaznaczenie jednej z nich spowoduje wyświetlenie jej w postaci rozkodowanej – rozwijalnego drzewa dla każdego z kolejnych użytych na różnych warstwach sieci protokołów. Dodatkowo treści wiadomości pokazywana jest szesnastkowo.

Pozwala wysłać ramki do konkretnego urządzenia (lub urządzeń) do których nadawca jest połączony bezpośrednio (na warstwie fizycznej) lub za pośrednictwem urządzeń tej warstwy (np. switchy).

Ostatnia warstwa zależna od sprzętu. Zarządza kto kiedy może wysyłać dane, wprowadza adresy (adresy MAC), porządkuje bajty w ramki, sprawdza czy ramki zostały przesłane bez zniekształceń, umieszcza w ramce informację jaką treść zawierają jej dane.

Urządzenia warstwy łącza danych to mostki (bridge) i przełączniki (switch).

Adres MAC (adres fizyczny) ma 48 bitów i jest zapisywany szesnastkowo, w 6 grupach po 8 bajtów oddzielonych dwukropkiem.
Przykład adresu: 5c:f9:dd:78:3d:88.

Domyślnie używany przez karty ethernetowe (i Wi-Fi) adres MAC jest ustawiany w nienadpisywalnej pamięci karty.
Taki adres MAC jest podzielony na dwie części: pierwsza połowa to identyfikator producenta (OUI), druga połowa to numer karty.
Producenci sprzętu muszą wykupić pulę adresów. Lista zajętych początków adresów jest dostępna publicznie, razem z informacją kto ma który OUI.

System operacyjny musi sam wpisać adres MAC do ramki sieciowej, adres MAC używany przez kartę można zmienić na inny.

Adresy MAC z ustawionym bitem 0x01 w pierwszym bloku to adresy multicastowe (i adres rozgłoszeniowy, ff:ff:ff:ff:ff:ff).
Adresy użyte przez IPv4 do multicastu zaczynają się od 01:00:5e:…, a IPv6 od 33:33:…

Adresy MAC z ustawionym bitem 0x02 w pierwszym bloku to adresy lokalnie administrowane (nieunikalne). Można je nadawać np. urządzeniom wirtualnym.

W Linuksie do zarządzania warstwą łącza danych (data link layer) służy komenda ifconfig (i inne) / ip link.

Przykłady poleceń wyświetlających adres MAC:

/ # ip l
2: em1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast master br0 state UP mode DEFAULT group default qlen 1000
    link/ether 5c:f9:dd:78:3d:88 brd ff:ff:ff:ff:ff:ff
3: p4p1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
    link/ether 90:e2:ba:1a:4d:48 brd ff:ff:ff:ff:ff:ff
5: wlan0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 08:ed:b9:4c:31:8b brd ff:ff:ff:ff:ff:ff

/ # ifconfig -a
em1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        ether 5c:f9:dd:78:3d:88  txqueuelen 1000  (Ethernet)
        RX packets 2702  bytes 355076 (346.7 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 523  bytes 53668 (52.4 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
        device interrupt 20  memory 0xddf00000-ddf20000  

p4p1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.1.2  netmask 255.255.255.0  broadcast 0.0.0.0
        inet6 fe80::92e2:baff:fe1a:4d48  prefixlen 64  scopeid 0x20<link>
        ether 90:e2:ba:1a:4d:48  txqueuelen 1000  (Ethernet)
        RX packets 293  bytes 60122 (58.7 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 286  bytes 26478 (25.8 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
        device memory 0xdd420000-dd43ffff  

wlan0: flags=4098<BROADCAST,MULTICAST>  mtu 1500
        ether 08:ed:b9:4c:31:8b  txqueuelen 1000  (Ethernet)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

Ethernet obejmuje zarówno warstwę fizyczną jak i łącza danych

Budowa ramki typu Ethernet II i IEEE 802.2 LLC, adresy, pole długość ramki / typ ramki, EtherType, suma kontrolna.

Unicast to wysłanie pakietu do jednego, wskazanego odbiorcy.
Multicast to wysłanie pakietu do grupy zainteresowanych odbiorców.
Broadcast to wysłanie pakietu do wszystkich (w zasięgu).
Anycast to wysłanie do najbliższego z grupy odbiorców.

Domyślnie Linuksy ignorują zapytania generowane przez ping wysłane na adresy multicastowe/rozgłoszeniowe IPv4.
Aby to zmienić, wykonaj z uprawnieniami roota komendę:   sysctl net.ipv4.icmp_echo_ignore_broadcasts=0

Aby wybrany interfejs dołączył do grupy multicastowej, jakiś program musi tego zażądać. Na potrzeby ćwiczeń użyj komendy:
socat udp-recv:0,ip-add-membership=239.1.2.3:em1 stdio <&-
Listę grup do których należą interfejsy można sprawdzić komendą ip maddr lub netstat -ng

Do przetestowania sposobów adresowania możesz użyć komend:

• unicast: ping <adres IP innego komputera>
• multicast: ping <adres IP grupy multicastowej>
• broadcast: ping -b <adresu IP rozgłoszeniowy sieci> lub ping -b 255.255.255.255

Domena rozgłoszeniowa i kolizyjna [1] [2] to zbiór urządzeń do których dotrze ramka wysłana jako rozgłoszeniowa (domena rozgłoszeniowa) bądź dowolna (domena kolizyjna).

Do wysłania pakietu do wybranego urządzenia podaje się jego adres IP.
System operacyjny wysyłając ramkę sieciową (z tym pakietem w środku) musi ustawić właściwy adres docelowy MAC.

Jeżeli urządzenie S ma wysłać pakiet do urządzenia R o podanym adresie IP i ten adres IP znajduje się w tej samej sieci co adres IP urządzenia S, to urządzenie S musi najpierw dowiedzieć się jaki adres MAC ma urządzenie R.

Do znajdowania adresów MAC dla podanego adresu IPv4 służy protokół ARP.
Do znajdowania adresów MAC dla podanego adresu IPv6 służy protokół NDP.

Wyświetlanie mapowań IP→MAC: ip neighbour (działa też pisownia ip neighbor).
Do wyświetlenia mapowań IPv4→MAC można użyć starszej komendy arp.

Listę znanych mapowań można wyczyścić komendą ip neighbour flush {all|dev <ifname>}.

Komenda arping pozwala wysłać żądanie protokołu ARP:
arping -I <nazwa interfejsu> <adres IPv4>
np. arping -I br0 150.254.32.129

Komenda ndisc6 pozwala wysłać wiadomość Neighbor Solicitation protokołu NDP:
ndisc6 <adres IPv6> <nazwa interfejsu>
np. ndisc6 fd00::5 br0

Przełącznik na podstawie adresów źródłowych ramek buduje tablicę adresów MAC (określającą na którym porcie jest dany adres).
Jeżeli adres docelowy ramki jest w tej tablicy, to wiadomość wysłana jest tylko przez port przez który osiągalny jest docelowy adres.

Wiadomości rozgłoszeniowe i wiadomości do nieznanych adresów MAC wysyłane są na wszystkie porty poza tym z którego zostały otrzymane.

Adresy MAC multicastowe są obsługiwane inaczej – każdy komputer musi ogłosić że chce dołączyć do wybranej grupy (bądź ją opuścić) wysyłając odpowiednią wiadomości. Switch z tych wiadomości uczy się przez które porty należy wysłać wiadomości kierowane do konkretnej grupy.

Jeżeli w domenie rozgłoszeniowej (czyli w połączeniach między switchem / switchami) powstanie pętla, to każdy pakiet rozgłoszeniowy zacznie krążyć w tej pętli w nieskończoność, powodując powielanie go na pozostałych portach (czym skutecznie popsuje całą domenę rozgłoszeniową). Jedynym sposobem na zaradzenie jest zlikwidowanie pętli (np. przez wypięcie kabla).
Takim sytuacjom mają zapobiegać protokoły drzewa rozpinającego (STP, RSTP, PVSTP (cisco), MSTP).

Przełączniki zarządzalne to przełączniki które można w jakikolwiek sposób konfigurować.

Przełączniki wielowarstwowe to przełączniki które umieją wykonywać niektóre zadania z warstw wyższych niż łącza danych.

Do mierzenia prędkości na jednym urządzeniu musi działać program czekający na połączenie (serwer), na drugim należy uruchomić program który łączy się z serwerem i mierzy prędkość (klient). Przykładowe programy:

• netperf [1]
  • serwer: netserver -N
  • klient: netperf -H <cel>
• iperf
  • serwer: iperf3 -s
  • klient: iperf3 -c <cel>

Przepustowość można mierzyć na różnych warstwach:

• Bandwidth to przepustowość na warstwie fizycznej.
• Throughput to przepustowość na warstwie sieci bądź transportu.
• Goodput to przepustowość na warstwie aplikacji.

Przepustowość można mierzyć w bajtach na sekundę (bps) lub pakietach na sekundę (pps).
Niektóre urządzenia (np. routery czy firewalle z dużą ilością reguł, stare kiepskie switche) nie są w stanie wykorzystać całego pasma wysyłając małe pakiety.
Zwykle producenci reklamują się że ich sprzęt dla typowego w internecie rozkładu wielkości pakietów (IMIX) daje radę wykorzystać pełne pasmo.