Das lernst du
- Pakete anhand von Zeit, Kennungen und Feldern zusammenführen.
- Nicht bestätigte Optionen und Wiederholungen erkennen.
Voraussetzungen: F02 · DHCP-Nachrichten lesenF05 · T1, T2 und Lease-AblaufF06 · Optionen und Vererbung
Ein Mitschnitt zeigt, was an einem konkreten Beobachtungspunkt angekommen ist. Er zeigt nicht automatisch, was auf einem anderen VLAN oder innerhalb eines Servers passiert ist.
Der Mitschnitt passt nicht in ein ideales Lehrschema
Grafik vergrößern
Filtern und korrelieren
Ein Capture-Filter wie udp port 67 or udp port 68 begrenzt die Aufnahme. In Wireshark kann der Display-Filter dhcp die bereits aufgenommenen DHCPv4-Pakete anzeigen; ältere Versionen verwenden teilweise bootp. Der generische Display-Filter udp.port == 67 || udp.port == 68 bleibt hilfreich.
Korrelieren heißt: Zeit, Hardware-/Clientkennung, xid, Nachrichtentyp, giaddr und den Beobachtungspunkt gemeinsam vergleichen. Eine erneute Anfrage kann eine Wiederholung sein oder zu einem neuen Ablauf gehören. Nur Paketreihenfolge ohne Kennungen zu lesen ist fehleranfällig.
Der echte Wireshark-Beispielmitschnitt
Die verlinkte dhcp.pcap enthält vier aufgezeichnete Pakete. Client: 00:0b:82:01:fc:42; Server: 192.168.0.1; angebotene Adresse: 192.168.0.10. Dieses Netz gehört nicht zum Nordlicht-Beispiel. Die Werte wurden aus der Datei ausgelesen, nicht als vermeintlich echte Aufnahme erfunden.
Auffällig: DISCOVER/OFFER tragen xid 0x3d1d, REQUEST/ACK 0x3d1e. Das ist kein ideales Muster für eine einheitliche DORA-Transaktionskennung; die Zuordnung stützt sich hier zusätzlich auf Identität, gewünschte Adresse und den engen Zeitbezug. Ein Lehrmitschnitt darf nicht stillschweigend zurechtgebogen werden.
Eine belastbare Auswertungstabelle aufbauen
Lege für jede relevante Nachricht eine Zeile mit Zeitpunkt, Messpunkt, IP/UDP-Quelle und Ziel, Nachrichtentyp, xid, Clientkennung, ciaddr, yiaddr, giaddr sowie Optionen 50 und 54 an. Für Antworten ergänze Lease und tatsächlich gelieferte Netzparameter. Diese Tabelle trennt Beobachtung von Interpretation: „Option 6 fehlt“ ist ein Befund; „DNS ist deshalb am Client unbrauchbar“ braucht zusätzliche Kenntnis des Clientzustands.
Beginne mit einer einzelnen Clientidentität und einem kurzen Zeitfenster. Ein Filter nur auf die angebotene Adresse findet das anfängliche DISCOVER nicht zuverlässig, weil diese Adresse dort noch nicht als aktive Quelladresse verwendet wird. Ein Filter nur auf xid kann umgekehrt Besonderheiten oder neue Transaktionen übersehen. Die reale Beispieldatei in diesem Kapitel macht genau diese Grenze sichtbar.
Fehlende Pakete und fehlerhafte Aufnahmen unterscheiden
Wenn ein Capture nur auf dem Clientport liegt, kann ein direkt an einen anderen Server gerichtetes Paket außerhalb des sichtbaren Weges liegen. Eine zu kleine aufgezeichnete Paketlänge kann den Optionsbereich abschneiden. Hardware-Offloading kann Prüfsummen im Mitschnitt anders erscheinen lassen als auf der Leitung. Diese Möglichkeiten sind keine pauschalen Ausreden, sondern konkrete Hypothesen mit passenden Gegenmessungen.
Vergleiche für eine schwierige Diagnose zwei kontrollierte Messpunkte und möglichst einen bekannten funktionierenden Bezug. Synchronisiere die Zeitbasis oder korreliere die Pakete anhand ihres Inhalts. Bewahre die unveränderte Originaldatei auf und kennzeichne eigene Zusammenfassungen als Interpretation. So bleibt nachvollziehbar, welche Aussage tatsächlich von der Aufnahme gestützt wird und welche noch geprüft werden muss.
Was wurde wirklich bestätigt?
- Paket 1 fordert über Option 55 Maske, Router, DNS und NTP an.
- Paket 2 bietet .10, Maske /24, Lease 3.600 s, T1=1.800 und T2=3.150 s. Die Antwort geht unicast an .10; flags=0.
- Paket 3 wählt .10 und Server .1. Paket 4 bestätigt diese Lease. Router- und DNS-Option sind in diesem ACK nicht enthalten.
- Aus einer PRL mit DNS-Wunsch darf deshalb nicht geschlossen werden, dass DNS tatsächlich geliefert wurde. Fehlende oder fragliche Prüfsummen in Captures können außerdem Offloading-Artefakte sein und brauchen gesonderte Untersuchung.
Ergebnis: Der Mitschnitt belegt die bestätigten Felder. Er belegt keine vollständige Netzfunktion und keine nicht enthaltenen Optionen.
Typische Fehler
- Nur nach xid zu gruppieren reicht bei ungewöhnlichen Clients nicht immer.
- Ein Capture an der falschen Stelle kann Antworten übersehen.
- Ein angeforderter Parameter ist nicht automatisch im ACK vorhanden.
Praktisch anwenden
Offizielle Quellen
Versionsbezüge geprüft am 14. Oktober 2026. Produktkonfigurationen werden im jeweiligen isolierten Labor validiert.
- Wireshark · DHCP und Beispielmitschnitt ↗dhcp.pcap; echte aufgezeichnete Pakete, unabhängig vom Nordlicht-Lehrnetz
- Wireshark · dhcp.pcap herunterladen ↗Vier Pakete; mit tcpdump feldweise überprüft
- RFC 2131 · DHCPv4 ↗Protokollbasis, insbesondere §§ 3 und 4; März 1997