Questão de Redes de Computadores — Máscara e Endereçamento IP — INSTITUTO AOCP 2023

Filtros de exibição do Wireshark: sintaxe e operadores

Gabarito: letra C. O filtro de exibição correto para capturar toda a comunicação entre dois endereços IP usa o campo ip.addr com o operador de igualdade eq (ou ==), combinado com and: ip.addr eq 10.0.22.65 and ip.addr eq 192.168.1.4. A alternativa C é a única que combina o campo correto (ip.addr), o operador válido (eq) e a lógica and para exigir que ambos os endereços estejam presentes no pacote, independentemente de serem origem ou destino.

O Wireshark possui dois tipos de filtros: filtros de captura (aplicados na hora da captura, com sintaxe própria baseada em BPF — Berkeley Packet Filter) e filtros de exibição (aplicados sobre pacotes já capturados, com sintaxe própria). Esta questão trata especificamente dos filtros de exibição, que são escritos na barra de filtros da interface gráfica.

A sintaxe de um filtro de exibição segue o padrão campo operador valor. Os campos mais comuns para endereçamento IP são:

• ip.addr — corresponde a qualquer endereço IP no pacote (origem ou destino). É o campo mais abrangente e o mais usado para filtrar comunicação entre dois hosts.

• ip.src — corresponde apenas ao endereço IP de origem.

• ip.dst — corresponde apenas ao endereço IP de destino.

Os operadores de comparação aceitos são: == (igual), != (diferente), > (maior), < (menor), >= (maior ou igual), <= (menor ou igual), e também as formas textuais eq, ne, gt, lt, ge, le. O operador = sozinho não é válido em filtros de exibição — é um erro comum de quem confunde com linguagens de programação.

Para filtrar a comunicação entre dois endereços, a lógica é: o pacote deve conter o endereço A e o endereço B, em qualquer combinação de origem/destino. Isso é feito com o operador lógico and (ou &&). A expressão ip.addr eq 10.0.22.65 and ip.addr eq 192.168.1.4 captura pacotes onde 10.0.22.65 é origem e 192.168.1.4 é destino, ou onde 192.168.1.4 é origem e 10.0.22.65 é destino — exatamente o que o enunciado pede.

Alternativa A — ❌ Incorreta

Usa o operador = (igual simples), que não é válido em filtros de exibição do Wireshark. O operador correto é == ou eq. Além disso, o campo ip.addr está correto, mas o operador inválido torna a expressão inutilizável.

Alternativa B — ❌ Incorreta

Usa o campo ipv4.addr, que não existe na sintaxe de filtros do Wireshark. O campo correto para endereços IPv4 é ip.addr (ou ip.src/ip.dst para casos específicos). O operador == está correto, mas o campo inválido quebra o filtro.

Alternativa C — ✅ Correta ⟵ GABARITO

Combina o campo ip.addr (que casa com qualquer endereço IP no pacote), o operador eq (válido e equivalente a ==) e o operador lógico and para exigir que ambos os endereços estejam presentes. Essa expressão captura toda a comunicação entre 10.0.22.65 e 192.168.1.4, em ambos os sentidos.

Alternativa D — ❌ Incorreta

Usa os campos src.addr e dst.addr, que não existem na sintaxe de filtros do Wireshark. Os campos corretos são ip.src e ip.dst. Além disso, o operador -- (dois hífens) não é válido — o correto seria == ou eq. A expressão também forçaria uma direção específica (origem 10.0.22.65 e destino 192.168.1.4), não capturando a comunicação no sentido contrário.

Alternativa E — ❌ Incorreta

Usa o campo ipv4, que não existe na sintaxe de filtros do Wireshark. O campo correto é ip.addr. O operador == está correto, mas o campo inválido torna a expressão inutilizável.

Gabarito: letra C — a única expressão com campo, operador e lógica corretos para filtrar toda a comunicação entre os dois endereços.