📡 Ejercicio Guiado · Wireshark

Análisis de Captura de Red

Explora una captura real paso a paso: identifica protocolos, lee cabeceras, aplica filtros y extrae estadísticas. 156 preguntas en 10 bloques temáticos, correctamente numeradas P1–P156.

Descargar captura_estudio.pcapng

Progreso

0 / 156

🖥️

Bloque 1 — Uso general de la interfaz y captura (P1–P22)

Configuración de Wireshark, opciones de captura, navegación y elementos básicos.

P1 ¿Tienes instalada la última versión de Wireshark? — pendiente

La captura fue generada con Wireshark 3.6.0. Comprueba la tuya en Ayuda→Acerca de Wireshark.

✓ RespuestaLa captura se generó con la versión 3.6.0. Se recomienda usar la misma o superior.

P2 ¿En qué interfaces de red puedes hacer una captura? — pendiente

→Ve a Capturar→Opciones (Ctrl+K) para ver la lista de interfaces.

✓ Dato de la capturaEsta captura fue realizada en la interfaz en1 → tarjeta Wi-Fi.

P3 ¿Sabes cómo hacer una captura de 1.000 paquetes? — pendiente

01Ve a Capturar→Opciones → pestaña Opciones.
02Activa «Detener automáticamente después de… paquetes» e introduce 1000.

P4 ¿Sabes cómo hacer una captura de tráfico de 5 segundos? — pendiente

→En Ctrl+K, activa «Detener automáticamente después de… segundos» e introduce 5.

P5 ¿Sabes cómo capturar sólo tráfico UDP? — pendiente

Filtro captura BPFudp

⚑ AtenciónLos filtros BPF (captura) difieren en sintaxis de los filtros de visualización de Wireshark.

P6 ¿Puedes hacer una captura de 1.000 paquetes con tráfico TCP? — pendiente

01Escribe tcp en el Filtro de captura BPF.
02Activa el límite de 1000 paquetes (P3).

Filtro captura BPFtcp

P7 ¿Sabes cuál es la IP origen de un paquete? — pendiente

✓ Respuesta verificadaIP origen paquete 1: 192.168.0.140

P8 ¿Sabes cuál es la IP destino? — pendiente

✓ Respuesta verificadaIP destino paquete 1: 192.168.0.112

P9 ¿Sabes cómo ir directamente a ese paquete (de forma directa)? — pendiente

→Pulsa Ctrl+G → escribe el número de paquete y confirma.

P10 ¿Sabes cómo ir al primer paquete de la captura? ¿Y al último? — pendiente

Acción	Atajo
Primer paquete	`Ctrl + Inicio (Home)`
Último paquete	`Ctrl + Fin (End)`

P11 ¿Qué protocolo es el de máximo nivel en el paquete 1? — pendiente

✓ Respuesta verificadaEl protocolo de mayor nivel en el paquete 1 es UDP (Syslog, puerto 514→5514).

P12 ¿Cuál es el tamaño total de ese paquete? — pendiente

Medida	Valor
IP Total Length	162 bytes
Tamaño en línea (Eth 14 + IP 162)	176 bytes

P13 ¿Sabes cuáles son los dígitos hexadecimales equivalentes a esa dirección IP? — pendiente

IP origen: 192.168.0.140 192 → 0xC0 | 168 → 0xA8 | 0 → 0x00 | 140 → 0x8C → Resultado: c0 a8 00 8c

P14 ¿Sabes qué protocolo de capa 2 utiliza? — pendiente

✓ RespuestaCapa 2: Ethernet II (EtherType 0x0800).

P15 ¿Sabes qué protocolo de capa 3 utiliza? — pendiente

✓ RespuestaCapa 3: IPv4.

P16 ¿Sabes qué protocolo de capa 4 utiliza? — pendiente

✓ Respuesta verificadaCapa 4: UDP (Protocol = 0x11 / 17 decimal).

P17 ¿Cómo resaltas (marcas) un paquete? — pendiente

AClic derecho → Marcar/Desmarcar paquete
BAtajo: Ctrl+M

P18 ¿Y cómo vuelves a ese paquete marcado si estás viendo otros? — pendiente

→Menú Ir→Siguiente paquete marcado o Paquete marcado anterior.

P19 ¿Hay algún paquete que tenga el valor 0x0800? — pendiente

Filtroeth.type == 0x0800

✓ RespuestaSí. Todos los paquetes IPv4 tienen 0x0800 en el campo EtherType de Ethernet II.

P20 ¿Hay algún paquete que tenga la cadena de texto "pass" en su contenido? — pendiente

01Pulsa Ctrl+F, selecciona tipo String y busca pass.

ℹ ResultadoEn esta captura de estudio la cadena «pass» no aparece. No hay credenciales en claro.

P21 ¿Puedes activar y desactivar la "vista por colores"? — pendiente

AIcono de paleta en la barra de herramientas.
BMenú Ver→Colorear lista de paquetes

P22 ¿Podrías colorear los paquetes que corresponden a una conversación TCP? — pendiente

01Clic derecho sobre un paquete TCP → Colorear conversación → TCP.
02Elige el color deseado.

🔬

Bloque 2 — Análisis de protocolos en detalle (P23–P28)

Navegación avanzada, filtros por capa y jerarquía de protocolos.

P23 ¿Podrías moverte entre los paquetes de esa conversación TCP? — pendiente

→Menú Ir→Siguiente/Anterior paquete en la conversación, o flechas ↑↓ con filtro activo.

P24 ¿Puedes ver/ocultar un grupo de paquetes según diferentes criterios? — pendiente

→Filtros como !tcp ocultan todo TCP. También puedes colapsar secciones en el panel de detalles.

P25 ¿Y sólo de la capa 3? — pendiente

Filtro capa 3ip

P26 ¿Y sólo de la capa 4? — pendiente

TCPtcp

UDPudp

P27 ¿Puedes ver claro qué partes del paquete completo corresponden a cada protocolo? — pendiente

→Haz clic en una capa del panel central (Ethernet, IPv4, TCP/UDP). Wireshark resaltará automáticamente sus bytes en el panel hexadecimal.

P28 ¿Hay más de 5 protocolos diferentes en la captura? Cita al menos 5. — pendiente

Ve a Estadísticas→Jerarquía de protocolos.

✓ RespuestaSí: Ethernet II, IPv4, TCP, UDP, ICMP, ARP, DNS y DHCP, entre otros.

🔌

Bloque 3 — Ethernet / Capa 2 (P29–P34)

Cabeceras Ethernet, MACs, fabricantes y EtherType.

P29 ¿Quién es el fabricante de tu interfaz de red? — pendiente

Campo	Valor
MAC origen (paquete 1)	18:e8:29:c0:f0:2f
OUI	18:e8:29
Fabricante	Apple, Inc.

P30 ¿Sabes cuál es la dirección MAC destino de un paquete? — pendiente

✓ Respuesta verificadaMAC destino (paquete 1): 38:f9:d3:bc:2a:3f

P31 ¿Sabes cuál es la dirección MAC origen de un paquete, en HEX? — pendiente

✓ Respuesta verificadaMAC origen (paquete 1): 18:e8:29:c0:f0:2f

P32 ¿Sabes qué tipo de protocolo está llevando esa trama capa 2? — pendiente

✓ RespuestaEtherType 0x0800 → transporta IPv4.

P33 ¿Sabes cómo resaltar los HEX bytes de solo la capa 2? — pendiente

→Haz clic en Ethernet II en el panel de detalles → se resaltarán los 14 bytes de cabecera Ethernet en el panel hexadecimal.

P34 ¿Puedes ver los bits del preámbulo? ¿Por qué? — pendiente

ℹ RespuestaNo. La NIC elimina el preámbulo (7 bytes) y el SFD (1 byte) antes de entregar la trama al SO. Wireshark solo captura lo que pasa por la pila del sistema operativo.

🌐

Bloque 4 — IP / Capa 3 (P35–P46)

Cabecera IPv4, TTL, checksum y campos del datagrama.

P35 ¿Cuál es el tamaño de la cabecera IP (en bytes)? — pendiente

✓ RespuestaCabecera IP mínima: 20 bytes (IHL = 5 × 4 bytes = 20).

P36 ¿Cuál es el valor del campo cabecera IP (IHL) en bits? — pendiente

✓ RespuestaIHL = 5 → 5 × 32 = 160 bits = 20 bytes.

P37 ¿Cuál es el tamaño total del paquete IP? — pendiente

✓ Respuesta verificadaCampo Total Length del paquete 1: 162 bytes

P38 ¿Cuál es el TTL de ese paquete? — pendiente

✓ RespuestaTTL = 64. Valor típico de Linux/macOS.

P39 ¿La cabecera tiene opciones IP? — pendiente

✓ RespuestaNo. IHL = 5 → 20 bytes = mínimo, sin opciones.

P40 ¿Puedes ver las estadísticas de IP (v4)? — pendiente

Estadísticas→Estadísticas IPv4

P41 Ese paquete, ¿podrá pasar por 100 routers antes de ser entregado? — pendiente

✓ RespuestaNo. Con TTL = 64, el paquete sería descartado al llegar al router nº 65.

P42 ¿Qué ocurre si el TTL llega a 0? — pendiente

ℹ RespuestaEl router descarta el paquete y envía un ICMP Type 11 (Time Exceeded) al origen. Base de traceroute.

P43 ¿Sabes ver el checksum de la cabecera IP? — pendiente

✓ RespuestaCampo Header Checksum en la sección IPv4. Valor paquete 1: 0xf7c9.

P44 ¿Qué versión de IP se está utilizando en el paquete 1? — pendiente

✓ RespuestaVersión 4 (IPv4).

P45 ¿Y qué protocolo de transporte (capa 4) encapsula este paquete IP? — pendiente

✓ Respuesta verificadaEncapsula UDP (Protocol = 17 / 0x11).

P46 ¿Cuál es el valor del campo "Protocol" en la cabecera IP para indicar que es UDP? — pendiente

Protocolo	Decimal	Hex
TCP	6	0x06
UDP	17	0x11
ICMP	1	0x01

✓ Valor en paquete 1Protocol = 0x11 (UDP).

📋

Bloque 5 — ARP (P47–P55)

Resolución de direcciones. Primer ARP Request al gateway: paquete 160.

P47 ¿Hay algún paquete ARP en la captura? — pendiente

Filtroarp

✓ RespuestaSí. Hay 78 tramas ARP. Primer ARP Request al gateway: paquete 160.

P48 ¿Cuál es la dirección MAC de difusión (broadcast)? — pendiente

✓ RespuestaMAC broadcast: ff:ff:ff:ff:ff:ff.

P49 ¿Para qué sirve un paquete ARP Request? — pendiente

ℹ RespuestaPregunta a toda la red: «¿Quién tiene la IP X? Respóndeme con tu MAC». Se envía en broadcast.

P50 ¿Quién envía el ARP Request en el paquete 160? — pendiente

Campo ARP	Valor
Sender IP	172.20.10.4 (cliente)
Sender MAC	38:f9:d3:bc:2a:3f
Target IP	172.20.10.1 (gateway)
Eth dst	ff:ff:ff:ff:ff:ff (broadcast)

P51 ¿Qué dirección MAC destino tiene la trama Ethernet de un ARP Request? — pendiente

✓ Respuestaff:ff:ff:ff:ff:ff (broadcast).

P52 ¿Qué dirección MAC destino aparece dentro del cuerpo del paquete ARP (Target MAC) en un Request? — pendiente

✓ Respuesta00:00:00:00:00:00 — la información que se está solicitando, aún desconocida.

P53 ¿Cuál es el "Opcode" para una petición ARP? ¿Y para una respuesta? — pendiente

Tipo	Opcode
ARP Request	1
ARP Reply	2

P54 ¿Y para una respuesta (ARP Reply)? — pendiente

✓ RespuestaOpcode = 2 (reply).

P55 ¿El ARP Reply se envía por broadcast? — pendiente

✓ RespuestaNo. El ARP Reply es unicast, va directamente a la MAC del solicitante.

📣

Bloque 6 — ICMP (P56–P60)

Mensajes de control. Primer ICMP Dest Unreachable: paquete 2.

P56 ¿Para qué se utiliza principalmente el protocolo ICMP? — pendiente

ℹ RespuestaMensajes de control y notificación de errores: ping, traceroute, puerto inalcanzable, TTL expirado…

P57 ¿Qué tipo y código tiene un mensaje de "Echo Request" (Ping)? — pendiente

Mensaje	Type	Code
Echo Request	8	0
Echo Reply	0	0

P58 ¿Y un mensaje de "Echo Reply"? — pendiente

✓ RespuestaICMP Type 0, Code 0.

P59 ¿Qué significa un mensaje ICMP Type 3, Code 3? — pendiente

✓ RespuestaDestination Unreachable — Port Unreachable. El puerto UDP de destino no está escuchando. Aparece desde el paquete 2 de esta captura.

P60 ¿Cómo identifica ICMP que una respuesta pertenece a una petición concreta? — pendiente

ℹ RespuestaMediante los campos Identifier y Sequence Number. Si coinciden, Wireshark los empareja automáticamente.

📦

Bloque 7 — Transporte: UDP y TCP (P61–P107)

887 paquetes UDP · 1.433 TCP. Primer SYN: paquete 174.

P61 ¿Cuál es el puerto origen en el paquete nº 1? — pendiente

✓ Respuesta verificadaPuerto origen paquete 1: 514 (Syslog UDP).

P62 ¿Cuál es el puerto destino en el paquete nº 1? — pendiente

✓ Respuesta verificadaPuerto destino: 5514

P63 ¿Qué significan los puertos por debajo del 1024? — pendiente

ℹ RespuestaSon los puertos bien conocidos (Well-known ports): 80 HTTP, 443 HTTPS, 53 DNS, 22 SSH…

P64 ¿Qué es un puerto efímero? — pendiente

ℹ RespuestaPuerto de rango alto (normalmente ≥ 49152) asignado temporalmente por el SO al cliente para una conexión.

P65 Ese paquete ARP de referencia (paquete 160), ¿es una solicitud o una respuesta? — pendiente

✓ RespuestaEs una solicitud (Request). Opcode = 1.

P66 ¿Qué dirección IP es la de origen de ese paquete ARP? — pendiente

✓ RespuestaSender IP: 172.20.10.4

P67 ¿Qué dirección IP es la de destino de ese paquete ARP? — pendiente

✓ RespuestaTarget IP: 172.20.10.1 (gateway)

P68 ¿Qué valor tiene el campo Tipo de Protocolo? — pendiente

✓ Respuesta0x0800 → resolución para IPv4.

P69 ¿Cuál es el código de la operación ARP que realiza? — pendiente

✓ RespuestaOpcode = 1 (request).

P70 ¿Cuál es el código de un paquete que está respondiendo a una petición ARP? — pendiente

✓ RespuestaOpcode = 2 (reply).

P71 ¿Cuál es la longitud de la carga útil ARP? — pendiente

✓ RespuestaEl payload ARP tiene longitud fija de 28 bytes.

P72 ¿Qué significa que la MAC de destino sea 00:00:00:00:00:00? — pendiente

ℹ RespuestaEl emisor desconoce la dirección física del destino. Es el «hueco» que el receptor rellenará con su MAC real al responder.

P73 Ver tráfico ICMP — ¿cómo filtrar? ¿Qué paquete usar como referencia? — pendiente

Filtro ICMPicmp

Solo Dest Unreachableicmp.type == 3 and icmp.code == 3

✓ Respuesta verificadaEl primer ICMP Dest Unreachable (Type 3, Code 3) está en el paquete 2.

P74 ¿Qué tipo de operación ICMP está realizando esa trama? — pendiente

✓ RespuestaDestination Unreachable (Destino inalcanzable), Type = 3.

P75 ¿Cuál es el código de ese tipo de operación? — pendiente

✓ RespuestaCode = 3 → Port Unreachable.

P76 ¿A qué capa pertenece ICMP? — pendiente

ℹ RespuestaICMP pertenece a la Capa de Red (Capa 3). Se encapsula directamente en IP (Protocol = 1).

P77 ¿Qué HEX bytes son de IP y cuáles de ICMP? (para esa trama) — pendiente

ℹ RespuestaEn un paquete ICMP típico sin opciones IP: cabecera IP desde offset 0x000e hasta 0x0021; ICMP comienza en 0x0022. Haz clic en cada sección del panel de detalles para verlo.

P78 ¿Sabrías buscar el tipo y valor de mensaje de control ICMP (p.ej. Time Exceeded)? — pendiente

ICMP Time Exceededicmp.type == 11

ℹ AyudaDespliega el árbol ICMP en el panel de detalles para ver directamente Type y Code.

P79 ¿Hay tráfico UDP en la captura? — pendiente

Filtro UDPudp

✓ Respuesta verificadaSí. 887 paquetes UDP (29,6%).

P80 ¿Cuántas tramas usan UDP? — pendiente

✓ Respuesta verificada887 paquetes = 29,6% del total de 3.000.

P81 ¿Qué longitud tiene un datagrama? (paquete 168 — primera consulta DNS) — pendiente

Campo	Valor
Paquete	nº 168
Socket	172.20.10.4:55263 → 172.20.10.1:53
UDP Length	43 bytes (0x2b)
Desglose	8 B cabecera + 35 B datos DNS

P82 ¿Cuál es el valor en HEX (de la longitud)? — pendiente

✓ RespuestaUDP Length paquete 168 = 43 decimal = 0x2b.

P83 ¿Cuál es el puerto de destino del datagrama? — pendiente

✓ RespuestaPuerto destino: 53 (DNS).

P84 ¿Cuál es el puerto origen? — pendiente

✓ RespuestaPuerto origen: 55263.

P85 ¿Cuál es el socket? — pendiente

✓ RespuestaOrigen: 172.20.10.4:55263 · Destino: 172.20.10.1:53.

P86 ¿Hay tráfico TCP? — pendiente

Filtro TCPtcp

✓ Respuesta verificadaSí. 1.433 paquetes TCP (47,8%).

P87 ¿Cuántas tramas usan TCP? — pendiente

✓ Respuesta verificada1.433 paquetes = 47,8% del total.

P88 ¿Cuál es el puerto remoto de un segmento TCP? — pendiente

✓ RespuestaPrimer SYN TCP (paquete 174): puerto destino = 80 (HTTP).

P89 ¿Cuál es el tamaño de la cabecera TCP (en bytes)? — pendiente

✓ RespuestaCabecera TCP paquete 174 (SYN): 44 bytes (Data Offset = 11 × 4 = 44). Incluye 24 bytes de opciones.

P90 ¿Cuál es el valor del campo cabecera TCP (en bits)? — pendiente

✓ RespuestaData Offset = 11 → 11 × 32 = 352 bits = 44 bytes.

P91 ¿Qué flag de control está activado en ese segmento TCP? — pendiente

✓ RespuestaFlag SYN (inicio de conexión, 3-way handshake).

P92 ¿Cuál es el número de secuencia de ese segmento (absoluta y relativa)? — pendiente

Tipo	Valor
Absoluto	4028497774 (0xf01dff6e)
Relativo (Wireshark)	0 (primer paquete de la conexión)

ℹ AyudaClic derecho en el campo SEQ → Protocol Preferences → Relative Sequence Numbers para ver el absoluto.

P93 ¿Qué número de secuencia está confirmando? — pendiente

✓ RespuestaACK = 0. Es el primer paquete de la conexión, aún no hay nada que confirmar.

P94 ¿A qué parte de la conexión (inicio/datos/fin) pertenece ese segmento? — pendiente

✓ RespuestaFase de inicio (establecimiento de conexión / 3-way handshake).

P95 Primer SYN TCP — desglose completo (paquete 174) — pendiente

Filtro SYN purotcp.flags.syn==1 and tcp.flags.ack==0

Campo	Valor
Paquete	nº 174
IP src → dst	172.20.10.4 → 17.253.109.201
Puertos	62220 → 80 (HTTP)
SEQ absoluto	4028497774 (0xf01dff6e)
ACK	0
TCP hdr	44 bytes (Data Offset = 11)
Ventana raw	65535
Flag activo	SYN

P96 Ese segmento TCP, ¿lleva opciones? — pendiente

✓ RespuestaSí. Data Offset = 11 > 5, por lo que hay opciones TCP.

P97 Si el segmento TCP lleva opciones, ¿cuántas son? — pendiente

✓ RespuestaEl paquete SYN 174 lleva 7 opciones TCP.

P98 ¿Cuántos bytes ocupan las opciones TCP? — pendiente

✓ Respuesta24 bytes (44 bytes cabecera total − 20 bytes base = 24).

P99 ¿Qué campos tiene cada opción? — pendiente

ℹ RespuestaCada opción tiene: Kind (tipo), Length (longitud) y Value (valor). Opciones simples como NOP solo tienen Kind.

P100 ¿Cuál es el socket en el que va ese segmento? — pendiente

✓ Respuesta172.20.10.4:62220 (cliente) ↔ 17.253.109.201:80 (servidor).

P101 ¿Podrías ver la estructura concreta de una opción (kind / length / value)? — pendiente

ℹ RespuestaDespliega Options en el panel de detalles. Ejemplo — MSS: Kind=2, Length=4, Value=1460.

P102 ¿Cuál es el valor de MSS para esa conversación TCP? — pendiente

✓ RespuestaMSS = 1460 bytes.

P103 ¿Y el tamaño de la ventana (con y sin escalado, si lo tuviera)? — pendiente

Campo	Valor
Ventana raw	65535
Window Scale factor	6 (×64)
Ventana calculada	65535 × 64 = 4.194.240 bytes

P104 ¿Esa conversación TCP finalizó por las buenas o por las malas? — pendiente

✓ RespuestaPor las buenas. Se observan flags FIN/ACK al final del flujo (cierre ordenado).

P105 ¿Aparece la opción SACK? ¿En qué consiste? — pendiente

ℹ SACK (Selective Acknowledgment)Sí, aparece (SACK Permitted). Permite al receptor confirmar segmentos individuales que llegaron correctamente aunque haya huecos, evitando retransmisiones innecesarias.

P106 ¿Aparece la opción Timestamp? — pendiente

ℹ Timestamp TCPSí. Se usa para calcular el RTT (Round-Trip Time) y proteger contra SEQ duplicados (mecanismo PAWS).

P107 ¿Podrías usar un filtro para ver un socket concreto? — pendiente

Filtro socket concretoip.addr == 172.20.10.4 and tcp.port == 62220

🏠

Bloque 8 — DHCP (P108–P117)

13 tramas. Proceso DORA en paquetes 154–158.

P108 ¿Hay tráfico DHCP en la captura? ¿Cuántas tramas? — pendiente

Filtrodhcp

✓ RespuestaSí. Hay 13 tramas DHCP. Proceso DORA en paquetes 154–158.

P109 ¿A qué capa pertenece DHCP? — pendiente

ℹ RespuestaDHCP pertenece a la Capa de Aplicación (7). Usa UDP puertos 67 (servidor) / 68 (cliente).

P110 ¿Qué mensajes DHCP encuentras en la trama? — pendiente

Paquete	Mensaje	IP src	IP dst	Lease
154	Discover	0.0.0.0	255.255.255.255	—
156	Offer	172.20.10.1	172.20.10.4	86400 s
157	Request	0.0.0.0	255.255.255.255	—
158	ACK	172.20.10.1	172.20.10.4	86400 s

P111 ¿En qué estados DHCP se encuentra el cliente? — pendiente

ℹ RespuestaINIT (Discover) → SELECTING (Offer) → REQUESTING (Request) → BOUND (ACK y IP configurada).

P112 ¿Cuál es la dirección IP que tendrá el cliente? — pendiente

✓ RespuestaIP asignada: 172.20.10.4

P113 ¿Cuál es la dirección IP del servidor DHCP? — pendiente

✓ RespuestaServidor DHCP: 172.20.10.1

P114 ¿Cuál sería el socket (circuito) que se crea entre cliente y servidor? — pendiente

✓ RespuestaCliente: 0.0.0.0:68 · Servidor: 172.20.10.1:67

P115 ¿Cuál es el tiempo de concesión que oferta el servidor DHCP? — pendiente

✓ RespuestaLease Time: 86.400 segundos = 24 horas.

P116 ¿Cuántas opciones tiene ese paquete DHCP? — pendiente

✓ RespuestaEl Discover (trama 154) contiene 6 opciones BOOTP.

P117 ¿Cuál es el código de opción de Client Identifier? — pendiente

✓ RespuestaCódigo de opción Client Identifier: 61.

🔍

Bloque 9 — DNS (P118–P126)

124 tramas. Servidor: 212.230.135.1. Primera consulta: paquete 168.

P118 ¿Hay tráfico DNS en la captura? ¿Cuántas tramas? — pendiente

Filtrodns

✓ RespuestaSí. Hay 124 tramas DNS. DNS es Capa de Aplicación (7), usa UDP puerto 53.

P119 ¿Qué mensajes DNS encuentras en la trama? — pendiente

ℹ RespuestaMensajes de consulta (Standard query) y respuestas (Standard query response).

P120 ¿Cuál sería la IP del servidor DNS? — pendiente

✓ RespuestaServidor DNS: 212.230.135.1

P121 ¿Cuál sería la IP de un cliente DNS en esa red? — pendiente

✓ RespuestaIP cliente DNS: 192.168.0.112

P122 La trama 335, ¿qué operación está realizando? ¿Cuál es el código de la operación? — pendiente

✓ RespuestaLa trama 335 es ICMP Destination Unreachable (Type 3, Code 3 — Port Unreachable). No es DNS.

P123 ¿En qué trama le responden? — pendiente

✓ RespuestaLa consulta DNS de la trama 366 recibe respuesta en la trama 367.

P124 Busca una trama con respuesta DNS: ¿qué tipo de registro devuelve? ¿Qué valor? — pendiente

✓ RespuestaLas respuestas DNS en esta captura devuelven principalmente registros de tipo A (IPv4). Ejemplo: para api.apple-cloudkit.com, devuelve IPs de servidores Apple.

P125 En la trama 366, ¿cuántos registros de respuesta hay? ¿Cuál es la pregunta y la respuesta? — pendiente

Campo	Valor
Tipo de trama	Consulta (Query) — 0 respuestas
Pregunta	api.apple-cloudkit.com (tipo A)
Respuesta	En trama 367

P126 ¿Qué es la trama 1400? — pendiente

✓ RespuestaICMP Type 3, Code 3 (Port Unreachable). Puerto UDP de destino en 192.168.0.132 es inalcanzable.

🔎

Bloque 10 — Filtros avanzados y estadísticas (P127–P156)

Filtros avanzados, I/O Graphs, conversaciones TCP y estadísticas generales.

P127 ¿Sabrías filtrar los paquetes cuyo origen sea una dirección IP concreta? — pendiente

Filtro IP srcip.src == 192.168.0.140

P128 ¿Hay algún socket que haya usado el puerto 8000? — pendiente

Filtro puerto 8000tcp.port == 8000 or udp.port == 8000

ℹ ResultadoNo hay tráfico relevante en el puerto 8000 en esta captura.

P129 ¿Sabrías filtrar los paquetes desde dos IPs concretas? — pendiente

Filtro ORip.addr == 192.168.0.140 or ip.addr == 192.168.0.112

P130 ¿Sabrías filtrar los paquetes de un socket concreto (IP + puerto)? — pendiente

Filtro socketip.addr == 192.168.0.140 and tcp.port == 80

P131 ¿Podrías filtrar los paquetes con el flag SYN activo? — pendiente

Filtro SYNtcp.flags.syn == 1

P132 ¿Y los paquetes con el flag SYN y de una IP concreta? — pendiente

Filtro SYN + IPtcp.flags.syn == 1 and ip.src == 192.168.0.140

P133 ¿Y los paquetes con el flag RST (reset) activo? — pendiente

Filtro RSTtcp.flags.reset == 1

P134 ¿Y los paquetes con una dirección MAC concreta? — pendiente

Filtro MACeth.addr == 18:e8:29:c0:f0:2f

P135 ¿Y los de una IP origen concreta que además tengan el flag TCP FIN activo? — pendiente

Filtro FIN + IP srcip.src == 192.168.0.112 and tcp.flags.fin == 1

P136 ¿Y los paquetes IP que tengan un TTL superior a 100? — pendiente

Filtro TTL>100ip.ttl > 100

✓ Resultado523 paquetes con TTL > 100.

P137 ¿Y un TTL de 1? ¿Qué significaría esto? — pendiente

Filtro TTL=1ip.ttl == 1

✓ Resultado11 paquetes con TTL = 1. Puede indicar un traceroute o paquetes a punto de expirar.

P138 ¿Qué segmentos TCP están anunciando el valor MSS? — pendiente

Filtro MSStcp.options.mss

✓ Resultado81 segmentos.

P139 ¿Qué segmentos TCP tienen el valor MSS y el flag FIN activo? ¿Por qué? — pendiente

Filtro MSS+FINtcp.options.mss and tcp.flags.fin == 1

✓ Resultado0 paquetes. El MSS solo se negocia en paquetes SYN, nunca en FIN.

P140 ¿Qué segmentos TCP tienen una ventana de más de 30.000 Bytes (sin escalar)? — pendiente

Filtro ventanatcp.window_size_value > 30000

✓ Resultado61 paquetes.

P141 ¿Qué paquetes IP ocupan más de 1.000 B? — pendiente

Filtro IP>1000Bip.len > 1000

✓ Resultado193 paquetes.

P142 ¿Qué filtro uso para ver un flujo (stream) concreto (p.ej. el 30)? — pendiente

Filtro stream #30tcp.stream == 30

P143 ¿Qué filtro uso para ver el flujo #30 y que tengan el flag SYN activo? — pendiente

Filtro stream+SYNtcp.stream == 30 and tcp.flags.syn == 1

P144 ¿Podrías mostrar un gráfico (IO) de los paquetes de la captura? — pendiente

Ve a Estadísticas→I/O Graphs.

ℹ ResultadoMuestra la evolución del tráfico (paquetes o bits) a lo largo del tiempo.

P145 ¿Y modificar alguna de las propiedades del gráfico? — pendiente

ℹ RespuestaSí: intervalo de tiempo, estilo de línea, color y unidad del eje Y (Packets/Tick, Bits/Tick…).

P146 ¿Cómo muestras la información experta? — pendiente

AClic en el pequeño círculo de color en la esquina inferior izquierda de la barra de estado.
BMenú Analizar→Expert Information

P147 ¿Puedes tener una idea de lo que te dice esa información experta? — pendiente

ℹ RespuestaClasifica eventos en: Errors, Warnings, Notes y Chat. Ayuda a detectar problemas de rendimiento y errores rápidamente.

P148 ¿Puedes ver el paquete concreto en uno de los avisos? — pendiente

ℹ RespuestaSí. Doble clic sobre cualquier línea de Expert Information → Wireshark salta al paquete exacto en la lista.

P149 ¿Qué protocolo tiene más paquetes (en %)? — pendiente

✓ Respuesta verificadaTCP con 47,8% (1.433 de 3.000).

P150 ¿Hay más paquetes que usen UDP que los que usan TCP? — pendiente

✓ RespuestaNo. TCP: 1.433 vs UDP: 887.

P151 ¿Qué protocolos intervienen en la captura? — pendiente

Protocolo	Paquetes	%
TCP	1.433	47,8%
UDP	887	29,6%
ICMP	536	17,9%
ARP	78	2,6%

P152 ¿Puedes ver un análisis de la longitud de los paquetes? — pendiente

Estadísticas→Packet Lengths

P153 ¿Cuál es la longitud de paquetes más frecuente? — pendiente

✓ Respuesta verificada70 bytes (capturado) / 84 bytes en línea, aparece 543 veces. Típicamente ACKs TCP pequeños.

P154 ¿Puedes ver cuántas conversaciones TCP hay en la captura? — pendiente

Ve a Estadísticas→Conversations→TCP.

✓ Respuesta66 conversaciones TCP distintas.

P155 ¿Qué socket TCP envió más paquetes? — pendiente

✓ RespuestaSocket más activo: 142.250.200.78:443 ↔ 192.168.0.112:62243 — 91 paquetes.

P156 ¿Qué IP envía más paquetes TCP? ¿Puedes ver el flujo de datos (gráfico) de una conversación? — pendiente

✓ RespuestaIP con más TCP: 192.168.0.112 con 687 paquetes.

Para ver el gráfico:

01Selecciona un paquete de la conversación.
02Ve a Estadísticas→TCP Stream Graphs → elige Time Sequence o Throughput.