Netzwerkanalyse unter Linux

Eines dieser sehr nützlichen Tools, auf das mich erst Fyodor (Autor von Nmap) gebracht hat, ist hping2 bzw. in den aktuelleren Distributionen hping3

Normalerweise wenn es darum geht, die Erreichbarkeit eines Rechners im LAN oder im Internet zu prüfen bzw. die Roundtrip-Times zu bestimmen, kommt das weit verbreitete Tool ping zum Einsatz. Leider werden Firewalls immer häufiger extrem restriktiv konfiguriert. Dieser Einstellung fällt dann teilweise auch das Protokoll ICMP (das von ping verwendet wird) zum Opfer. Pings kommen nicht mehr durch, das Tool ist dann nutzlos.

Häufig bieten aber die Rechner, die von Interesse sind, mindestens einen Netzwerk-Dienst an. Die entsprechenden Ports müssen dann natürlich in der Firewall freigeschaltet sein. Diese Eigenschaft macht sich jetzt hping2 zunutze, zumindest sofern es sich um einen TCP-Port handelt. Es schickt einfach TCP-Pakete an den entsprechenden Port. Die TCP-Flags darf man dabei sogar noch selber frei bestimmen. Im Prinzip ist es hping2 sogar egal, ob der Port offen oder geschlossen ist, denn auf ein SYN-Paket kommt normalerweise immer eine Antwort: Entweder ein SYN-ACK (bei offenem Port) oder ein RST (bei geschlossenem Port) - nur gefiltert darf er nicht sein (Drop auf der Firewall), denn dann würde gar keine Antwort zurückkommen.

Über die Antwort-Pakete kann die Erreichbarkeit des Hosts erkannt werden und es können Roundtrip-Times bestimmt werden.

Eigentlich handelt es sich beim diesem Tip gar nicht um ein Linux Tool, die Beschreibung passt aber trotzdem hier am besten:

Man möchte herausfinden, welche Hostnames es unter einer bestimmten Internet-Domain gibt. Dazu kann man natürlich probieren, ob der zuständige DNS-Server einen Zone-Transfer zulässt. Aber die meisten DNS-Server sind heute hinreichend sicher konfiguriert, dass das ausser "Transfer failed" nichts weiter zurückliefert.

Es gibt aber mehrere Datenbanken im Internet, wo sich die Informationen zumindest teilweise, oft sogar größtenteils befinden. Diese abzufragen lohnt also in dem Fall immer.

Die eine davon hält Google. Hier verwendet man den Suchbegriff

also z. B.

um zwar ohne Suchwort zu arbeiten, die Suche aber auf die entsprechende Domain einzugrenzen. Im Prinzip also eine Auflistung aller Seiten. Dabei werden bei den Treffern auch die Hostnames gleich in der Übersicht genannt.

Die andere Datenbank, die ich hier vorstellen möchte, hält Netcraft für Ihre Internet-Statistik. Unter https://searchdns.netcraft.com/?host steht ein Formular bereit, wo man die gesuchte Domain direkt eingeben kann.

Auch whois ist so ein Tool, von dem viele maximal die Grundfunktionalitäten kennen. Es fragt Informationen aus den Whois-Datenbanken ab, die Einträge dazu enthalten, wem Domains oder IP-Adress-Bereiche gehören und wer sie technisch verwaltet. Auch die für Domains zuständigen DNS-Server sind hier verzeichnet.

Auch die Whois-Datenbanken sind als verteiltes System konzipiert, ähnlich wie etwa DNS.

Die Whois-Server der unterschiedlichen Registrare setzen unterschiedlich starke Restriktionen. Denic etwa liefert den Admin-C nicht mit aus. Wenn man den auch erfahren will, ist man gezwungen, das etwas umständliche Webinterface zu nutzen. Bevor man an die gesuchte Information bekommt, muss man noch ein Captcha lösen.

Nicht alle der unten genannten Anfragen funktionierene somit gegen alle Whois-Server, teilweise liefern sie gar keine oder nur reduzierte Antworten.