في هذا الدرس 8تصفّح المواضيع
درسنا عبر محطات هذا الموديول عناوين و، وطبقات نموذجي و، والمصافحة الثلاثية لبروتوكول ، ونظام أسماء النطاقات ، وأوامر تشخيص الشبكة مثل . غير أن هذه المفاهيم تتحول من مجرد قواعد نظرية إلى حقيقة ملموسة بمجرد أن ترى الحزم الفعلية بعينك وهي تمر عبر بطاقة الشبكة؛ وهنا يأتي دور برنامج Wireshark — أشهر محلل لبروتوكولات وحزم الشبكة () مفتوح المصدر في العالم — الذي يعمل كالمجهر الهندسي الدقيق لفحص وتشخيص الاتصالات داخل مختبرك الشخصي.
قبل الغوص في تفاصيل هذا الدرس، استعرض جدول المصطلحات الأساسية التالية:
| المصطلح بالعربية | المصطلح بالإنجليزية | النطق التقني | المعنى المبسط |
|---|---|---|---|
| محلل حزم وبروتوكولات الشبكة | باكِت أنالايزر / واير شارك | أداة تشخيصية تلتقط نسخاً من حزم الشبكة المارة عبر بطاقة جهازك وتفكك طبقاتها لعرضها بوضوح. | |
| لوحة قائمة الحزم الزمنية | باكِت ليست بين | القسم العلوي في واجهة Wireshark الذي يعرض كل حزمة في سطر مستقل مع التوقيت والمصدر والوجهة والبروتوكول. | |
| لوحة تفاصيل طبقات الحزمة | باكِت ديتيلز بين | القسم الأوسط الذي يفكك الحزمة المختارة إلى شجرة طبقات (الإطار، الإيثرنت، IP، TCP، ثم بروتوكول التطبيق). | |
| فلتر عرض وتصفية الحزم | ديسبلاي فيلتر | شريط بحث ذكي يتيح إخفاء الضوضاء وإظهار حزم بروتوكول أو عنوان محدد فقط (مثل dns أو http). | |
| تتبع مجرى محادثة TCP | فولو تي سي بي ستريم | ميزة تجمع كل الحزم المتبادلة في اتصال واحد بين العميل والخادم وتعرض الحوار الكامل في نافذة واحدة. | |
| ملف حفظ سجل الحزم | بي كاب فايل | الصيغة القياسية لحفظ الحزم الملتقطة على القرص لإعادة فحصها لاحقاً أو مشاركتها في تقارير التشخيص. |
يُقصد بـ تحليل حزم الشبكة () عملية التقاط وفحص الوحدات البيانية (الإطارات والحزم والقطع) أثناء عبورها بطاقة الشبكة. ولماذا يُعدّ تعلم برنامج Wireshark محطة جوهرية لكل دارس للشبكات والويب وأمن المعلومات؟
- تحويل تغليف الطبقات () إلى مشهد مرئي: بدلاً من حفظ طبقات و نظرياً، يكفي النقر على حزمة واحدة في لترى كيف يغلّف إطار الإيثرنت حزمة ، وبداخلها قطعة ، وبداخلها رسالة التطبيق.
- التشخيص الجذري لأعطال الاتصال: عندما يعجز تطبيق ويب عن الاتصال بخادم، يكشف لك في ثوانٍ هل سبب العطل فشل ترجمة الاسم في ، أم رفض المنفذ لاتصال ، أم خطأ في إعدادات التطبيق.
- التحقق الفعلي من تشفير البيانات: يثبت لك الفحص المباشر بالدليل القاطع هل تُرسل البيانات مكشوفة كنص واضح أم مشفرة بأمان داخل غلاف .
كيف يراقب برنامج حركة الشبكة دون أن يقطع اتصالك بالإنترنت أو يعطّل المتصفح؟ يعتمد البرنامج على مكتبة التقاط قياسية في نظام التشغيل (تُسمى Npcap في ويندوز وlibpcap في لينكس وماك) تعمل وفق الخطوات الثلاث الآتية:
- 1. اختيار بطاقة الشبكة المناسبة (): عند فتح البرنامج، يعرض لك قائمة ببطاقات الشبكة المتاحة على جهازك (مثل أو أو بطاقة المختبر الافتراضي أو واجهة المضيف المحلي ) مع رسم بياني صغير يوضح البطاقة النشطة.
- 2. أخذ نسخة سلبية فورية من الإطارات (): تلتقط مكتبة النظام نسخة مطابقة من كل إطار وارد أو صادر مع تسجيل توقيته الدقيق بأجزاء الملي ثانية، بينما تكمل الحزمة الأصلية طريقها الطبيعي للمتصفح دون أي تأخير.
- 3. تشريح وتفكيك البروتوكولات (): تقوم محركات التشريح المدمجة بترجمة الأصفار والآحاد في رؤوس الرسائل إلى حقول واضحة مقروءة، مع إمكانية حفظ الجلسة في ملف قياسي بامتداد .
بمجرد بدء جلسة الفحص، يقسّم برنامج شاشته الرئيسية إلى ثلاث لوحات مترابطة تتيح لك الانتقال السلس من النظرة الإجمالية إلى أدق تفاصيل البايتات:
| القسم في واجهة Wireshark | ماذا يعرض وكيف تقرؤه بسهولة |
|---|---|
| 1. قائمة الحزم ( — بالأعلى) | جدول يمثّل كل سطر فيه حزمة واحدة، ويعرض رقمها التسلسلي ()، والتوقيت ()، والمصدر ()، والوجهة ()، والبروتوكول ()، وملخص محتواها (). |
| 2. تفاصيل الحزمة ( — بالمنتصف) | يعرض التشريح الشجري لطبقات الحزمة التي نقرت عليها في الأعلى بالترتيب: من إطار الشبكة ()، ثم طبقة الشبكة ()، ثم طبقة النقل ()، وصولاً لطبقة التطبيق (). |
| 3. بايتات الحزمة الخام ( — بالأسفل) | يعرض المحتوى الفعلي للحزمة بالنظام الست عشري () وبجانبه الحروف النصية المقابلة ()؛ وعند النقر على أي حقل في اللوحة الوسطى يظلل لك البرنامج بايتاته المقابلة فوراً. |
تأمل المخطط الهندسي الآتي الذي يوضح الأقسام الثلاثة لواجهة وفلاتر التصفية ورحلة فحص الحزم:
خلال ثوانٍ معدودة من تصفح الإنترنت، قد يتبادل حاسوبك آلاف الحزم في الخلفية؛ وللعثور على الحزم المطلوبة وسط هذا الزحام، يوفر نوعين مختلفين من الفلاتر:
- فلاتر الالتقاط ( — تُضبط قبل بدء التسجيل): تأمر محرك الالتقاط بتسجيل نوع محدد فقط من الحزم (مثل ) وتجاهل ما عداه تماماً لتوفير مساحة الذاكرة في جلسات الفحص الطويلة.
- فلاتر العرض ( — تُكتب في أي وقت أعلى قائمة الحزم): هي الأكثر استخداماً؛ لأنها لا تحذف أي حزمة مسجلة، بل تخفي مؤقتاً الحزم غير المطلوبة من الشاشة. وعندما يتحول لون شريط الفلتر إلى الأخضر، فهذا يعني أن صيغة الفلتر صحيحة تماماً.
احفظ أمثلة فلاتر العرض () القياسية الآتية الأكثر استخداماً في التشخيص اليومي:
# Show only DNS queries and responses
dns
# Show only HTTP or HTTPS/TLS traffic on ports 80 or 443
http || tls
# Filter packets involving a specific lab IP and port
ip.addr == 192.168.1.10 && tcp.port == 80عندما تكتب اسم نطاق مثل في متصفحك، فإن أول حوار شبكي يلتقطه هو زوج حزمتي طلب واستجابة . وبمجرد كتابة الفلتر في شريط العرض، تشاهد عملياً ما درسته في درس نظام أسماء النطاقات:
- العمل فوق بروتوكول والمنفذ : عند توسيع لوحة التفاصيل الوسطى، تلاحظ أن استعلام القياسي يعتمد على بروتوكول المتجه للمنفذ لإنجاز الترجمة بأقصى سرعة في رحلة واحدة.
- حزمة الاستعلام (): تطلب فيها بطاقة شبكتك من خادم معرفة سجل العنوان الرباعي () الخاص بالنطاق.
- حزمة الاستجابة (): تعود خلال أجزاء من الثانية حاملةً نفس رقم المعاملة مع العنوان الرقمي المقابل للموقع.
فور استلام عنوان من خادم ، يسجّل برنامج الحزم الثلاث الشهيرة التي تؤسس الاتصال الموثوق قبل إرسال أي صفحة ويب، وهي المصافحة الثلاثية لبروتوكول ():
- الحزمة الأولى : يرسلها متصفحك إلى منفذ الخادم ( أو ) لطلب بدء تزامن الاتصال ().
- الحزمة الثانية : يرد بها الخادم معلناً الموافقة وتأكيد الاستلام ().
- الحزمة الثالثة : يرسلها متصفحك لتأكيد جاهزية القناة ()؛ فيبدأ نقل البيانات فوراً.
شاهد في المقتطف الآتي كيف تظهر حزم المصافحة الثلاثية متبوعةً بطلب الصفحة داخل جدول :
No. Time Source Destination Proto Info
1 0.0012 10.0.2.15 1.1.1.1 DNS Standard query A example.com
2 0.0145 1.1.1.1 10.0.2.15 DNS Standard query response A 93.184.215.14
3 0.0150 10.0.2.15 93.184.215.14 TCP 54322 -> 80 [SYN] Seq=0 Win=64240
4 0.0382 93.184.215.14 10.0.2.15 TCP 80 -> 54322 [SYN, ACK] Seq=0 Ack=1
5 0.0384 10.0.2.15 93.184.215.14 TCP 54322 -> 80 [ACK] Seq=1 Ack=1
6 0.0389 10.0.2.15 93.184.215.14 HTTP GET /index.html HTTP/1.1لا شيء يوضح أهمية تشفير الويب بصورة عملية قاطعة مثل مقارنة حزمة HTTP غير المشفرة (المنفذ 80) بحزمة HTTPS المشفرة عبر TLS (المنفذ 443) داخل برنامج :
| جانب المقارنة في الفحص | بروتوكول HTTP النصي (المنفذ 80) | بروتوكول HTTPS المشفر بـ TLS (المنفذ 443) |
|---|---|---|
| رؤوس الرسالة والمسار () | تظهر مكشوفة بالكامل في لوحة التفاصيل (مسار الصفحة، ورؤوس الرسالة، وملفات الكوكيز، وحقول النماذج). | تُخفى بالكامل داخل سجلات مشفرة () فور انتهاء مصافحة التشفير. |
| لوحة البايتات والحمولة () | تظهر كنص مقروء واضح () يكشف كلمات المرور ومحتوى الصفحة لأي فاحص على المسار. | تظهر كرموز مشفرة غير قابلة للقراءة؛ مما يحمي سرية وسلامة بيانات المستخدم عبر الشبكة. |
وفي خوادم لينكس السحابية التي تعمل بسطر الأوامر دون شاشة رسومية، يستخدم مهندسو الشبكات أداة لالتقاط عدد محدد من الحزم وحفظها في ملف لتحليله لاحقاً داخل واجهة :
# Capture 10 packets on local interface lo and save to trace.pcap
sudo tcpdump -i lo -c 10 -w trace.pcap
# Read the saved capture summary from the terminal
tcpdump -n -r trace.pcapنظراً لأن محلل الحزم يتيح رؤية التفاصيل الدقيقة للبيانات المارة عبر بطاقة الشبكة، يلتزم المهندسون والطلاب بقواعد تقنية وأخلاقية صارمة عند استخدام :
- حصر الفحص على بطاقات جهازك ومختبرك الشخصي: طبّق دائماً تجارب التقاط الحزم على واجهة المضيف المحلي () أو داخل شبكة مختبرك الافتراضي المعزول () بين أجهزتك الافتراضية الخاصة.
- حظر تشغيل التقاط الحزم في الشبكات العامة أو المؤسسية غير المصرح بها: يُمنع قانوناً وأخلاقياً تشغيل برامج التقاط الحزم على شبكات الجامعات أو المقاهي أو جهات العمل دون تفويض رسمي مكتوب.
- حماية ملفات الفحص المحفوظة (): قد تحتوي ملفات المسجلة أثناء فحص تطبيقاتك على رموز جلسات أو عناوين داخلية؛ لذا احرص على عدم نشرها علناً واحذفها بعد انتهاء التشخيص.
جرّب محاكي فحص الحزم التفاعلي الآتي لمعاينة كيف يفكك حزم استعلام والمصافحة الثلاثية لـ والفرق بين حمولة و:
ملخص الدرس
حصاد الدرسمراجعة مركّزة لأهم المفاهيم والقواعد الهندسية التي أتقنتها في هذا الدرس قبل التطبيق العملي
ماذا تعلّمت في هذا الدرس؟
تعرّفنا في هذا الدرس على كيفية استخدام برنامج Wireshark لرؤية بروتوكولات الشبكة عملياً: بدايةً من آلية التقاط الحزم عبر ، وقراءة الأقسام الثلاثة للواجهة (قائمة الحزم، وتفاصيل الطبقات، والبايتات الخام)، واستخدام فلاتر العرض ( و و)، وتتبع استعلام والمصافحة الثلاثية لـ وميزة ، وصولاً إلى المقارنة العملية بين حزم النصية المكشوفة وحزم المشفرة وضوابط الفحص الأخلاقي في المختبر. الخطوة التالية: انتقل الآن إلى الدرس التالي (الجدران النارية وأجهزة أمن الشبكات) لنكتشف معاً كيف تحمي الجدران النارية () وأنظمة الشبكات من الحزم غير المصرح بها!
سجّل الدخول لحفظ تقدمك
تابع إنجاز المواضيع والمصطلحات والمهام، وكمّل من آخر خطوة على أي جهاز.
المصطلحات8
راجع المعنى، اشرحه لنفسك، ثم علّم البطاقة كمفهومة.
- 01 Wireshark برنامج Wireshark
- المحلل القياسي العالمي مفتوح المصدر لبروتوكولات الشبكة، ويُستخدم لالتقاط وفحص الحزم عبر طبقات الشبكة.
- للمراجعة
- 02 Packet List Pane لوحة قائمة الحزم (Packet List)
- القسم العلوي من واجهة Wireshark الذي يعرض جدولاً زمنياً لكل حزمة ملتقطة مع مصدرها ووجهتها والبروتوكول.
- للمراجعة
- 03 Packet Details Pane لوحة تفاصيل الحزمة (Packet Details)
- القسم الأوسط في Wireshark الذي يفكك الحزمة المختارة إلى شجرة تعرض رؤوس الرسائل عبر طبقات الشبكة.
- للمراجعة
- 04 Packet Bytes Pane لوحة بايتات الحزمة (Packet Bytes)
- القسم السفلي في Wireshark الذي يعرض الحمولة الخام للحزمة بالتمثيل الست عشري (Hex) والحروف النصية (ASCII).
- للمراجعة
- 05 Display Filter فلتر العرض (Display Filter)
- تعبير تصفية يُكتب في شريط العرض لإظهار حزم بروتوكول أو عنوان أو منفذ محدد فقط دون حذف بقية الحزم المسجلة.
- للمراجعة
- 06 Capture Filter فلتر الالتقاط (Capture Filter)
- قاعدة تُضبط قبل بدء جلسة التسجيل لتحديد الحزم التي يلتقطها البرنامج وتجاهل ما عداها لتوفير المساحة.
- للمراجعة
- 07 Follow TCP Stream تتبع مجرى الاتصال (Follow TCP Stream)
- ميزة في Wireshark تجمع كافة القطع المتبادلة في اتصال TCP واحد وتعرض الحوار الكامل في نافذة واحدة.
- للمراجعة
- 08 PCAP (.pcap / .pcapng) ملف التقاط الحزم (PCAP)
- صيغة الملفات القياسية المعتمدة لحفظ سجلات الحزم الملتقطة في Wireshark وtcpdump لإعادة فحصها.
- للمراجعة
لا توجد بطاقات تطابق البحث والتصفية.
اقرأ البطاقات بحرية. سجّل الدخول لحفظ تقدم مراجعتك.
الاختصارات5
راجع المعنى، اشرحه لنفسك، ثم علّم البطاقة كمفهومة.
- 01 PCAP PCAP
- Packet Capture
- واجهة البرمجة والصيغة القياسية لالتقاط وحفظ ملفات حزم الشبكة.
- للمراجعة
- 02 BPF BPF
- Berkeley Packet Filter
- الصيغة القياسية المستخدمة في كتابة فلاتر الالتقاط الأولية في Wireshark وtcpdump.
- للمراجعة
- 03 NIC NIC
- Network Interface Card
- بطاقة واجهة الشبكة الفيزيائية أو الافتراضية التي يلتقط منها البرنامج الإطارات المارة.
- للمراجعة
- 04 TLS TLS
- Transport Layer Security
- بروتوكول التشفير القياسي الذي يحمي حمولة HTTPS فيمنع قراءتها كنص مكشوف أثناء الفحص.
- للمراجعة
- 05 ASCII ASCII
- American Standard Code for Information Interchange
- ترميز الحروف النصية الذي يظهر بجانب القيم الست عشرية في لوحة البايتات داخل Wireshark.
- للمراجعة
لا توجد بطاقات تطابق البحث والتصفية.
اقرأ البطاقات بحرية. سجّل الدخول لحفظ تقدم مراجعتك.
مهامك قبل الاختبار
خطوة صغيرة كل مرة. وإنجاز تقدر ترجع له.
-
تنقّل بين الخطوة 1 (استعلام DNS) والخطوة 2 (مصافحة TCP) في محاكي Wireshark التفاعلي، ولاحظ أي بروتوكول في طبقة النقل يستخدمه كل منهما.
-
قارن بين الخطوة 3 (HTTP) والخطوة 4 (HTTPS/TLS) في المحاكي، واشرح كيف تبدو لوحة البايتات (Packet Bytes) في كلتا الحالتين.
-
راجع أمثلة فلاتر العرض في الموضوع الرابع واكتب تعبير الفلتر الذي يعرض الحزم المطابقة لبروتوكول HTTP أو بروتوكول TLS.
تأشير المهمة إقرار منك بإتمامها، وليس تصحيحًا آليًا للكود. يُحفظ تقدمك في حسابك.
اختبر فهمك.
ووصلها للإتقان.
كل سؤال خطوة لقدّام. اختار، اكتب كود، وشوف نتيجتك فورًا.
أكمل المهام، واجمع كل الإجابات الصحيحة. أقل من 100%؟ راجع وأعد المحاولة.
الأسئلة متاحة للاطلاع. سجّل الدخول للتفاعل وحفظ تقدمك.