PRACTICAL TCP/IP - Mengenal MS Windows Networking ( BAG 3 )

18.9 Lab- Network Monitor- displayfilter

18.10 Windows Network Monitor-tip dan trick

Ringkasan

18.9 Lab- Networking Monitor- Display Filter

Setelah Anda berhenti melacak, Anda mempunyai beberapa set paket yang bisa Anda tampilkan. Semua akan ditampilkan secara default, tetapi Anda dapat menampilkan paket tertentu dengan mendefmisikan display filter. (Secara konsep, hal ini serupa dengan display filter Ethereal, Modal 13.4). Display filter adalah satu-satunya Cara di mana Andadapat memfilter port pada Netmon.

Kita akan menciptakan dan menggunakan display filter: Misalkan kita telah melacakdaftar paketdan ingin menampilkan hanya paket ICMP dan ARP : 
I. Pastikan Anda sudah menghentikan pelacakan dan sudah

menampilkan daftar paket. Jika semua beijalan dengan baik, menu bar pada window akan menampilkan " File - Edit - ­Display ..."

2. Klik pada ikon <Ikon hal 484> untuk menampilkan window

Display Filter (Gambar 18.6). Dalam kondisi default, filter akan menampilkan semua protokol dan address. Anda dapat secara selektif memfilter protokol, address, atau keduanya, atau melalui " properti" - Anda dapat memilih sembarang field dari paket dan menentukan nilai yang hams dipenuhi. Jangkauan dari protokol lebih besardari capture filter dandengan memilih protokol yang benar, Anda dapat memfilter port dengan efektif.

Gambar18.16 WindowDisplay Filter PERINGATAN: label pada tombol dan achonnya akan bemba sesuai dengan bans yang ditunjuk 3. Pi]ih baris " Protocol - Any" 4. Tekan tombol Edit Expression untuk menampilkan window Expression dialog (Gambar 18.17) 5. Tekan Disable AB; semua protokol akan berpindah ke bagian Disabled Protocols 6. Pilih ARP_KARP dantekan Enable

7. Tekan OK, dan tampil Biter yang ditunjukkan pada Gambar 18.18. Sekarang, kita hams memasukkan paket ICMP pada filter 8. Tekan tombol Add Expression untuk menampilkan window expression dialog lagi. Kali ini window akan menampilkan ekspresi terakhir yang Anda edit, dengan anggapan bahwa Anda akan memodiflkasi setting Anda sebelumnya, tetapi memang begitulah ia bekelja; la akan menampilkan nilai sebelumnya untuk kenyamanan Anda, jika ekspressi Anda selanjutnya serupa. 9. Tekan Disable All; lalu pilih ICMP, tekan Enable, dan OK; akan tampil filter yang ditunjukkan padaGambar 18.19.

PRACTICAL TCP/IP - Mengenal MS Windows Networking ( BAG 2 )

18.4 Implementasi Windows Networking pada TCP/IP

18.5 Implementasi Windows Networking - NT Service

18.6 Lab -Gambaran Windows Network Monitor

18.7 Lab - Network Monitor-filter protocol

18.8 Lab - Network Monitor- filter address

18.4 Implementasi Microsoft Windows Networking pada TCP/IP

Windows  Networking  menggunakan  port  TCP/IP  berikut:

 Port-port ini pada umumnya digunakan untuk alamat source dan destination. Sebagian kecil operasi menggunakan Microsoft RPC (Remote Procedural Calls) yang akan menghubungkan dengan lokator DCE endpoint untuk mencari port di mana sebuah layanan tertentu bekelja,dan menghubungkandiridengan port tersebut, sehingga Anda ti bisa menyebutkan secara pasti di mana sebuah nomor port akan digunakan(C.Fportmapper pada Linux, Modul 17.5)

 

 Layanan " session" digunakan untuk operasi seperti pengkopian file, dan sebagainya. Hubungan ini adalah komputer ke komputer dan beljalan di alas TCP; sebagai alasan akan didiskusikan pada Modul

15.2. Layanan lainnya hams beljalan di alas UDP, Karena mereka membutuhkan:

• Broadcast, contohnya ketika menemukan layanan tertentu, atau melakukan query terhadap sebuah nama.
• Multicast, di mana sebuah paket yang sama hams dikirimkan kepada banyak komputer, contohnya, kepada semua anggota dari group NetBIOS bemama ABC (Ingat kembali bahwa TCP menyediakan hanya koneksi antar 2 sambungan; ia tidak mendukung banyak sambungan yang mendukung kebutuhan multicastingdan broadcasting).

Gambar 18.2 mengillustrasikan skema sebuah NetBIOS melakukan multicast pada group NetBIOS:
Pada level NetBIOS merupakan multicast.
Tetapi, pada level UDP dan Ethernet, ia diimplementasikansebagai paket broadcast

Paket ini merupakan broadcast pada medium, sehingga setiap komputer pada Amenerima dan membaca paket. Manya komputer dengan NetBIOS yang mendengarkan pada port yang benar; sedangkan komputer lain akan membuang paket tersebut. Setiap komputer dengan NetBIOS akan melakukan pengecekan terhadap alamat tujuan NetBIOS pada isi paket. Jika komputer ini merupakan bagian dari group yang dituju, NetBIOS akan mengirimkan paket tersebut pada aplikasi, selain itu juga akan menghapus paket.

Kita akan membahas penggunaan port dan mekanisme komunikasi yang digunakan oleh berbagai jenis layanan seiring dengan perjalanan kita.

Gambar18.2 NetBIOS multicast

Layanan Session NetBIOS

Layanan session NetBIOS beljalan di alas koneksi TCP. Sebuah koneksi TCP tunggal dapat mendukung multiple session NetBIOS (multiple session NetBIOS akan di-multiplexing-Kan pada sebuah koneksi TCP tunggal). Ketika NetBIOS perlu untuk membuka sebuah koneksi session barn, misalnya di antara ance dan bob, pertama-tama NetBIOS akan mengecek apakah sudah terdapat hubungan di antara kedua komputer. Jika sudah maka akan dibuka sebuah session NetBIOS barn di atas koneksi TCP/IP yang sudah ada; jika belum, NetBIOS akan mengadakan sebuah koneksi TCP barn di antara aRce dan bob dan membuka hubungan session NetBIOS di atasnya.

Oleh sebab itulah akan sangat sulit untuk menentukan traffic session NetBIOS dengan menggunakan tcpdump. Akan lebih mudah bila menggunakan ethereal atau Windows Network Monitor 

 (yang akan kita perkenalkan pada Modul 18.6). Software tersebut mempermudah kita untuk melihat lebih jauh isi paket, dan memungkinkan kita untuk melacak session NetBIOS selama masa berlakunya.

Anda dapat menampilkan daftar session yang saat ini terhubung pada komputer Anda dengan perintah:

 

Seperti yang diilustrasikan berikut ini. (Anda tidak dapat menampilkan daftar untuk remote host).

Mendapatkan Bantuan pada Perintah Windows

Windows Help mengandung deskripsi yang mirip dengan halaman man (pada Linux) dari perintah-perintah command line seperti net use, nslookup, dan sebagainya. Biasanya terdapat topik yang berhubungan (semua ditandai dengan " ) : contohnya, Catalan penggunaan, dan deskripsi tentang sintaks perintah. Sebagai contoh, pergunakan Start > Help > FWd dan masukkan ‘net use" , klik ganda pada index net use wnunand, dan tekan tombol Display padatopik.

Anda juga dapat mengetik pada command line:

Net help

Akan menampilkan sub-command dari " net". Untuk mendapatkan informasi lebih tentang sub-command, Anda memiliki dua pilihan:

Net view /? Ringkasan Sintaks

Net help view Pesan bantuan yang rinci

Untuk mendapatkan informasi tentang pesan error dari network NT, masukkan:

Net helpmsg msg-num

18.5 lmplementasi Windows Networking - NTService

Penggunaan yang utamadari Microsoft Windows Networking adalah pada sharing file, sehingga kita akan melihat bagaimana ia diimplementasikandengan menggunakan NT Service.

Sebuah NT Service adalah sekumpulan kode yang menyediakan fungsi spesifik. Anda dapat menganggap Services network sebandingdengan server khusus pada Linux yangdijalankan sebagai program setara dengan aplikasi. Sebagai contoh, layanan Simple TCP|IP Service menyediakan layanan daytime, echo, chargen,dan discard (Modul 17.I).

Andadapat mengontrol Services menggunakan Control Panel > Services (Gambar 18.3). Dengan tombol Startup, Anda dapat menentukan apakah Service tertentu akan dijalankan secara otomatis ketika sistem booting atau harus dijalankan secara manual, atau di­disabled. Layanan Service yang terlihat adalah layanan yang sudah terinstall. Anda dapat menambahkan atau menghapus layanan ini menggunakan Control Panel > Network > Services (Fungsi dari Control Panel ini secara konsep sama dengan inetd di Linux, yang mengontrol server berbasis network apa yang akandijalankan).

Gambar 18.3 Pengontrolan Servicespada Windows-NT

Workstation Services

Komponen client dari Windows Networking adalah Workstation Services, yang mengimplementasikan sisi client pada file sharing. Workstation diimplementasikan dengan komponen user-level pada program Services.exe (The Service Control Manager) dengan bagian lain yang berada pada kernel NT, rdr.sys, sebuah redirektor. Redirektor berfungsi untuk menangkap system call dari aplikasi client pada sistem operasi untuk melakukan operasi file (membuka, membaca, menulis, dan sebagainya) pada sebuah file yang bukan bersifat lokal, misalnya berada pada komputer remote. Redirektor ini akan memforward (redirect) request pada komputer remote, dan menangani semua transfer data dan network yang terlibat. Secara konsep, hal ini sama dengan peran dari subsistem client pada NFS (Modul 17.14).

Server Services

Komponen server dari Windows Networking adalah Server Service. Sama dengan Workstation, ia juga memiliki komponen user-level, dan juga berada pada Services.exe dan bagian pada kernel, Srv.sys. Gambar 18.4 menggambarkan bagaimana Workstation dan Server berinteraksi untuk menyediakan akses file secara remote pada jaringan.

 

Gambar18.4 Bagaimana Workstation  dan  Server Service berinteraksi

Service dan Binding

Beberapa Service Network setara dengan aplikasi server pada Linux. Sisanya dicangkokkan pada kernel NT, misalnya Rdr.sys dan Srv.sys. Tanpa melihat di mana sebuah kode dieksekusi (pada kernel atau pada user), sebuah Service berada pada level yang tinggi pada stack network- di atas IP, Novell, NetBEUI, dan sebagainya - dan tempat inilah tempat binding (c.f. Modul 18.2) berperan. Binding mendefinisikan koneksi di antara:

• Service dan apa yang NT sebut dengan protokol (TCP/IP,Novell), atau
• Protokol NT dan sebuah adapter (kartu jaringan).  

Gambar 18.5 mengillustrasikan konsep binding dengan diagram Service-X dapat beljalan di atas proto-A dan proto-B. Proto-A hanya beroperasi pada adapter-I, tetapi proto-B bisa berkomunikasi menggunakan kedua adapter. Service-Y hanya menggunakan proto-C, hanya pada adapter-3. Sebagai contoh, Service-X berupa Workstation, yang beroperasi dengan TCP/IP pada adapter-1 dan adapter-2, dan dengan Novell pada adapter-1. Service-Y berupa server, yang berjalan dengan NetBEUI pada adapter-3, menyediakan layanan untuk komputer-komputer lama. Control Panel > Network > Binding akan memperbolehkan Anda untuk melihat dan memodifikasi binding dan juga urutan di mana mereka diaplikasikan. Pada umumnya Anda tidak perlu berurusan dengan hal ini Karena binding dikonfigurasi pada saat instalasi program ketika Anda menginstall komponen jaringan. Tetapi, pada contoh Gambar 18.5, jika Anda ingin memastikan bahwaService­X menggunakan proto-B terlebih dahulu dari pada proto-A,  Anda dapat menggunakan Control Panel > Network > Bindings untuk melakukannya.

Gambar18.5 Binding

Pada bah berikutnya kita akan melihat service-service yang menyediakan bagian lain dari fungsi Microsoft Windows Networking (Lihat Catalan untuk informasi pada service umum dan bagaimana merekadiimplementasikan sebagai proses.)

Sisa bab ini akan memperkenalkan sniffer kami, Windows Network Monitor, yang akan kita perlukan untuk melihat traffic Windows Networking

18.6 Lab- Gambaran Windows Networking Monitor

Modul ini dan empat modul berikutnya akan memperkenalkan paket sniffer/protokol analyzer kami - Microsoft Windows Network Monitor (" Netmon" ). Program ini hampir sama dengan ethereal tetapi ia mampu mengenali lebih detail apa yang teljadi pada Windows Networking sehingga ia mampu memberikan interpretasi yang lebih lengkap tentang traffic. Keunggulan lainnya adalah : (a) Menangani protokol non-TCP/IP; (b) Anda dapat menggunakannya pada koneksi dial up PPP; (c) Windows-NT menyertakannya sebagai standar, sehingga Anda dapat menggunakannya pada keadaan darurat atau pada komputer orang lain jika Anda tidak mempunyai sniffer lain yang

terinstall (atau tidak diperbolehkan menginstall). Kelemahannya adalah ia hanya bisa melihat paket yang dikirimkan pada komputer yang menjalankan program ini, sehingga Anda tidak bisa melihat danar paket " live" selama proses, dan ia lebih sulit dan lambat dari tool lain.

(sebuah versi barn dari Network Monitor datang dengan produk Microsoft System Management Server. Karena tidak semua orang mempunyai software ini, kami membatasi pada versi standar. Versi baru mampu menangkap traffic dari semua komputer dan Anda dapat menghubungkan windows Network Monitor Anda pada Network Monitor Agent pada komputer remote untuk melihat paket yang terlacak daripada paket lokal PC Anda. Beberapa menu dan tombol pada versi standar berwama abu-abu dan tidak dapat diakses Karena mereka berelasi pada versi yang baru).

Bagaimana Menginstall Windows Network Monitor

Network Monitor adalah Network Service. Install dari Control Panel > Network >~Services > Add.

 

Gambaran 18.6 Tampilan  Windows  Network  Monitor

Menggunakan Windows Network Monitor

Jalankan program dari tombol Start > Programs > Administrative Tools (Common) > Network Monitor untuk menampilkan tampilan window awal (Gambar 18.6).

• Ketika dijalankan, Network Monitor tidak akan melacak paket.  
• SebelumAndamemulaipelacakanpaket,Andadapat mendefmisikan filter paket untuk menangkap paket yang spesifik (Modal 18.7). 
• Ketika Anda melacak paket, tampilan statistik akan diupdate, tetapi Anda tidak bisa melihat daftar paket yang terlacak. 
• Ketika Anda berhenti melacak, Anda dapat melihat daftar paket yang terlacak dan Anda dapat (opsional) menerapkan filter terhadap output yang akan ditampilkan.
  Memulai pelacakan
  Klik pada ikon <ICON hal 479> (atau gunakan menuStatistik pada window sebelah Karlan akan terupdate secara otomatis selama paket  terlacak. Klik pada ikon <ICON hal 479> (atau untuk berhenti, atau klik pada <ICON hal 479> (atau Stop dan untuk berhenti dan melihat daftar paket.

Melihat daftar paket

Daftar yang tampak hanya terdiri dari jendela utama yang berisi daftar paket. Jika Anda klik ganda pada paket, Anda akan mendapatkan tiga baris window (Gambar 18.7) dengan tampilan dan operasi yang serupa dengan ethereal. Klik ganda lagi untuk mengembalikan ke layar semula. 

Gambar 18.7 Tiga  tampilan  Windows  Network  Monitor

18.7 Lab -NetworkingMonitor -Filter Protokol

Filter memberitahu Netmon paket mana yang akan dilacak. Setiap paket yang tidak sesuai dengan filter tidak akan tercatat, mengurangi jumlah pekeljaan yang harus dilakukan oleh Netmon dan mengurangi ukuran dari file yang terlacak. (Ukuran file yang terlacak oleh Netmon dibatasi dengan jumlah memori pada PC Anda, sehingga mengurangi jumlah paket sangatlah penting). Pemfilteran paket pada Netmon pada dasarnya sama dengan option -f pada ethereal, atau dengan filter expression yang Anda tulis pada perintah tcpdump.

Netmon memperbolehkan Andamelakukan filter :

1. Address (IP atau MAC),

2. Protokol,

3. Isi paket,misalnya " byte 4 = 123" (tidak dibahas).

Anda tidak dapat menspesiflkasikan nomor port TCP atau UDP pada filter (tetapi setelah Anda menangkap semua traffic pada semua port,

	Dada dapat melihat traffic pada port tertentu, dengan menggunakan filter display). Untukmendefinisikan filter dengan protokol tertentu: 1. Klik pada ikon <ICON hal 480> atau gunakan menu Capture > Filter untuk menampilkan window CapWre Filter (Gambar 18.8). Setting awal akan menangkap semua yang masuk dan keluar dari komputer Anda.

Gambar18.8Window Capture Filter Network Monitor

2. Untuk memilih protokol, klik ganda pada baris SAP/TYPE untukmendapatkan window seperti pada Gambar 18.9. Dalam kondisi default, akanmelacak semua paket.

Untukmemilih hanya paket ARP atau ICMP :

• KlikDisable AB. Semua protokol akan berpindah ke Disabled Protocol.
• Dari daftar protokol, pilih ARP dan tekan Enable. Ckan hal yang sama untuk IP. Terdapat dua hal yang harus dicermati di sini: Pertama, Anda tidak dapatmemilih hanya ICMP pada filter paket. Pada kenyataannya, option protokol Anda sangat terbatas. Anda harus melacak lebih dari yang Anda inginkan dan melihat dengan lebih dekat apa yang Anda inginkan belakangan,menggunakan display filter. Kedua, mungkin Andamelihat bahwa protokol yang berbeda ditunjukkan sebagai ETYPE atau SAP atau keduanya. Kedua protokol ini berelasi dengan dua tipe " Ethernet" yang berbeda: Jika Anda memilih, pilih keduanya jika Anda akan memakai IP. Tekan OK yang akan menampilkan filter yang sudah dimodifikasi (Gambar 18.10). 
• Tekan OK lagi, dan filter akan digunakan setelah Anda memulai  pelacakan.

3. Untuk melacak, gunakan menu Capture  >  Start

Gambar18.9 Filterisasi menggunakan protokol

Operator AND dan OR pada Filter

Operator logika AND/OR akan mengelompokkan semua cabang yang terhubung pada dasar dari representasi box operator pada window. Sebagai contoh, Gambar 18.10 berarti (SAPIETYPE = ARP atau IP) AND ONCLUDE DENNISNT...). Satu-satunya AND yang berpengaruh di sini adalah yang paling kiri; dua yang lain tidak memiliki efek Karena mereka hanya mengandung satu item (terdapat banyak contoh dengan AND dan OR pada Modul 18.9).

Gambar18.10 Capture Filter yang dimodijikasi

18.8 Lab - Networking Monitor - Filter Address

Menentukan sebuah filter address merupakan pekeljaan yang mudah, tetapi cukup memakan waktu (kami hanya menambahkan modul ini dan modul selanjutnya sebagai pelengkap)

PERHATIAN:

Jangan gunakan address "ANY GROUP'. Hal itu bukan berarti "sembarang komputer' (la berarti semua paket Ethernet dengan bit set "group address". Lihat Catatan).

1. Klik pada ikon <Ikon HAL 482> atau gunakan menu Capture > Filter untuk menampilkan window Capmre FHter (Gambar18.8). Setting default akan melacak semua yang masuk dan keluar dari komputer Anda. 

2. Untuk memilih filter address, klik ganda pada baris (Address Pairs), untuk menampilkan window dialog Address Expression(Gambar 18.11)

 

Gambar 18.11 Address Expresssion Dialog

Misalkan kita hanya inginmelihat traffic dari dan ke IP address 192.0.2.5. Jika kita Lelah mempergunakan IP ini sebelumnya, maka akan ditampilkan pada daftar address, sehingga kita bisa melompat ke langkah 4.

3. Jika kita belum pemah menggunakan address ini sebelumnya, kita harusmenambahkannya pada daftar address kita:

i. Klik padaEdit Addresses untukmenampilkan window dialog Address Database (Gambar 18.12).

Gambar18.12 Address Database Dialog

ii. Tekan Add Masukkan IP address yang Anda inginkan (Gambar 18.13). Tekan OK Address yang Anda masukkan akan ditampilkan pada Address Database. Klik OK untuk kembali ke window Address Expression dialog (Gambar 18.14), di mana Anda akan melihat bahwa address yang Anda masukkan sudah ditunjukkan pada layar Station 2.

Garnbar 18.13 Memasukkan  Informasi Address

Gambar18.14 Memilih Traffic Antara DENNISNT atan Carol

4. Pada window Address ExF)ression(Gambar 18.14), klik pada traf6c komputer remote (SWOon 2) yang Anda login pantau (carol pada contoh ini). Pilih Direction yang Anda inginkan (misalnya Anda Kanya menginginkan paket di mana carol adalah sisi penerima, atau komputer somber, atau keduanya). Di bawah Station 1, pilihlah IP address dari PC Anda (dennisnt 212.140... pada contoh ini). Klik OK untuk menampilkan window Capture Filter (Gambar 18.15). (Perbedaan bagian Kiri dan kanan dari tampilan mencerminkan bahwa versi dari Netmon ini Kanya melacak paket ke dan dari komputer ini). 

5. Rita tidak menginginkan baris "DENNISNT<-> ANY ", sehingga hapuslah dengan tombol Delete`-Line (Tidak ditunjukkan). Tekan  OK sekali lagi, dan filter akan digunakan segera setelah Anda memulai pelacakan. Untuk melacak, gunakan menu Capture ->Start.

bersambung ke PRACTICAL TCP/IP - Mengenal MS Windows Networking ( BAG 3 )