Parei de usar o Wireshark para solução de problemas de primeira linha depois de descobrir a ferramenta de captura de pacotes integrada ao Windows

Se algo der errado consistentemente em sua rede doméstica, seja um contêiner que não consegue alcançar um serviço a alguns passos de distância ou o tráfego de uma máquina virtual que não consegue ir além de seu adaptador virtual, a primeira linha de defesa sempre foi semelhante. Normalmente carrego o Wireshark ou executo uma captura tracert para ver onde as coisas falham. Ambas as abordagens valem seus esforços de solução de problemas, mas vale a pena adicionar outra ao seu arsenal, cortesia da Microsoft. Desde 2018, o Windows vem enviando silenciosamente sua própria ferramenta de captura de pacotes, e muitas vezes é o lugar mais rápido para começar a se livrar da bagunça desordenada e virtualizada que é um típico laboratório doméstico.

O que a captura de pacotes pode realmente fazer

Excelente diagnóstico

Cada vez que um computador ou máquina virtual precisa carregar uma página, sincronizar uma pasta ou executar ping em outra máquina, essa ação é dividida em pacotes e eles são movidos pela rede. Uma ferramenta de captura de pacotes pode registrar esses pacotes conforme eles passam por um ponto de caminho de rede selecionado para que você possa realmente ver o que foi enviado e recebido.

O ponto em que você captura os pacotes é importante. Se você capturar na NIC física do seu computador, poderá ter uma boa ideia do que está saindo do seu dispositivo e, se capturar em algum lugar mais abaixo na pilha, poderá ver o que está acontecendo antes mesmo de tocar em um fio. A saída bruta também não foi feita para ser lida a olho nu; é melhor relatá-la em um arquivo e carregá-la no analisador. É exatamente assim que o pktmon funciona e é fornecido com todas as instalações do Windows 11.

Já está instalado e rodando em uma janela de terminal do Windows

Ao alcance do braço

Não há necessidade de baixar ou habilitar qualquer recurso adicional do Windows para usar o pktmon, pois ele está em execução no System32 desde o Windows 10 versão 1809. O único requisito é que ele seja executado a partir de um prompt elevado, ou seja, um administrador do PowerShell ou janela do prompt de comando. A captura mínima é tão simples quanto iniciar, repetir o problema e parar.

pktmon start --capture
pktmon stop

Isso deixa um log PktMon.etl em seu diretório de trabalho, que você converte em um arquivo legível de texto ou Wireshark.

pktmon etl2pcap PktMon.etl

Em um ambiente headless, onde adicionar ferramentas não é um ponto de partida, o pktmon já está disponível e, depois de mover esse arquivo para um local onde possa ser analisado adequadamente, você poderá lidar com problemas de rede muito mais rápido do que tentar diagnosticar fora do ambiente.

Ele vê sua rede virtual

Bônus adicional se você usar WSL ou muitos contêineres

É aqui que o pktmon realmente ganha seu lugar no laboratório doméstico. Se você estiver trabalhando com muitos clientes virtuais em seu laboratório, gerenciar um problema de conexão pode ser tão ruim quanto desembaraçar uma confusão de cabos físicos. pktmon é uma ferramenta multicomponente: ele pode monitorar o tráfego em toda a pilha de rede, incluindo switches virtuais, Hyper-V e redes de contêineres, não apenas adaptadores físicos. Uma sessão do Wireshark associada a uma NIC vê o que está passando por aquela interface. O pktmon pode observar a movimentação de pacotes entre componentes dentro da máquina, e é aí que os problemas de rede do laboratório doméstico gostam de se esconder.

Quando algo é descartado, o pktmon o atribui diretamente a cada componente e indica o motivo, como uma incompatibilidade de MTU ou uma VLAN filtrada. Se o seu problema for uma queda no tráfego entre a VM e a NIC física, isso poderá fornecer o diagnóstico completo em uma linha. Você também pode obter um relatório sem fazer login com contadores que determinam o número de envios e recebimentos em cada camada.

Estar limitado à CLI tem suas vantagens

Embora não ter uma GUI seja definitivamente uma limitação, ela também tem a vantagem de ser baseada em script. Você pode agendar uma captura, acioná-la quando o serviço travar ou capturar todo o loop de início, reprodução, pausa e conversão em um único arquivo que você executa em um servidor headless sem abrir uma janela. Por padrão, ele registra 128 bytes por pacote, o que abrange a maioria dos cabeçalhos; defina o tamanho do pacote como zero se precisar de tudo mais tarde.

Ptkmon para onde o Wireshark começa

Wireshark ainda é uma ferramenta de rede obrigatória

O Pktmon não é de forma alguma um substituto completo para uma ferramenta robusta de captura de pacotes como o Wireshark. Não há interface gráfica, nenhuma lista de pacotes codificados por cores e nenhum “clique para seguir o fluxo” e sua decodificação de protocolo é bastante superficial. É bom contar e capturar, mas é melhor deixar a parte de tradução para o Wireshark. O tipo de saída ETL padrão precisa essencialmente ser convertido para ser interpretado, e a sintaxe do comando tem uma curva de aprendizado, embora não seja grande. A sintaxe mudou entre as versões do Windows, então muitos dos comandos online de exemplo não funcionam mais, então a melhor orientação que posso dar é seguir a documentação da Microsoft.

Vale a pena usar o Pktmon em caso de emergência ou onde a GUI não pode ir

A inclusão do pktmon pela Microsoft certamente não completará a instalação do Wireshark, mas isso realmente não faz sentido, e é melhor usá-los juntos. Ele vem pré-instalado e é quase fácil de usar depois que você aprende a sintaxe e converte a saída. Para qualquer caixa do Windows executando contêineres WSL ou tentando desvendar a bagunça do Hyper-V, pktmon é a ferramenta mais conhecida que vale a pena usar.