Así es como funciona:
1. Configuración de la tarjeta de interfaz de red (NIC): Una NIC normal solo recibe marcos dirigidos a su propia dirección MAC. La NIC de un analizador de protocolo se pone en modo promiscuo. Esto cambia el comportamiento de la NIC.
2. Operación de modo promiscuo: En modo promiscuo, el NIC recibe * todos * los marcos transmitidos en el segmento de red, independientemente de su dirección MAC de destino. Esencialmente, copia cada cuadro que ve en el cable.
3. Captura y filtrado: El software del analizador de protocolo recibe estos marcos capturados de la NIC. Si bien captura todo inicialmente, a menudo permite filtrar. Este filtrado le permite especificar criterios (por ejemplo, protocolos específicos, direcciones IP, números de puerto) para centrarse en el tráfico relevante y evitar abrumar al analizador con datos innecesarios. La captura sin filtro a menudo se almacena en un archivo para un análisis posterior.
4. Acceso a la capa física: El método para acceder a la capa física de la red difiere en función del tipo de conexión. Para las redes con cable (Ethernet), generalmente se realiza una conexión directa al conmutador o concentrador de red. Las redes inalámbricas usan un adaptador inalámbrico en modo monitor.
Consideraciones importantes:
* Implicaciones éticas y legales: El uso de un analizador de protocolo requiere una consideración cuidadosa de las implicaciones éticas y legales. Capturar el tráfico de la red sin permiso es ilegal en muchas jurisdicciones.
* Impacto de rendimiento: Capturar todo el tráfico de red puede afectar significativamente el rendimiento de la red, especialmente en redes más lentas o en aquellos con altos volúmenes de tráfico.
* Topología de la red: La efectividad de capturar todos los cuadros depende de la topología de la red. Por ejemplo, capturar todo el tráfico en una red conmutada requiere colocar el analizador en una ubicación donde pueda "ver" el tráfico. Por el contrario, en una red basada en un concentrador, el analizador recibiría todo el tráfico como un concentrador transmite todos los cuadros a todos los dispositivos conectados.
En resumen, la clave para la capacidad de un analizador de protocolo para capturar todos los cuadros radica en la combinación del modo promiscuo de la NIC y la capacidad de su software para recibir y procesar los datos capturados.