Hexaguláš trenažér

Dostaneš rámec tak, jak ho ukazuje Wireshark v hexa, a s tahákem ho ručně rozebereš po bajtech: MAC adresy, typ rámce, IP adresy, porty, kdo je klient a kdo server. Rámce jsou generované, ale věrné reálnému provozu (správné délky, kontrolní součty, volby TCP, padding).

Jak číst hexdump z Wiresharku

Řádek = 16 bajtů. Vlevo offset v hexa (0000, 0010 = 16, 0020 = 32, 0030 = 48…), uprostřed bajty, vpravo ASCII (tečka = netisknutelný znak).
Wireshark nezobrazuje preambuli (8 B) ani FCS (4 B). Rámec začíná rovnou cílovou MAC, takže je na taháku přeskoč.
Nejmenší rámec má 60 B (64 B s FCS). Kratší se doplní nulami (padding). Padding nepatří do IP paketu, poznáš ho podle IP Total Length. Rámec, který odesílá sám zachytávající počítač, padding ve Wiresharku ještě nemá.

Postup po bajtech

Bajty 0–5 cílová MAC, 6–11 zdrojová MAC. ff:ff:ff:ff:ff:ff = broadcast. Lichý první bajt (01:…, 33:…) = multicast. Sudý = unicast.
Bajty 12–13: hodnota ≥ 0x0600 (1536) → Ethernet II a je to EtherType (tabulka 2: 0800 IP, 0806 ARP). Hodnota < 0x0600 → IEEE 802.3 a je to délka dat.
U 802.3 rozhodují bajty 14–15: FF FF → 802.3 RAW (Novell IPX). AA AA → LLC + SNAP (pak Control 03, 3 B OUI, 2 B EtherType). Jinak LLC: DSAP a SSAP podle tabulky 1 (42 = BPDU / Spanning Tree).
IPv4 od bajtu 14: 45 = verze 4, IHL 5 → 20 B hlavičky. Bajt 22 = TTL, 23 = Protocol (01 ICMP, 06 TCP, 11 = 17 UDP), 26–29 zdrojová IP, 30–33 cílová IP. Když IHL ≠ 5, všechno za IP hlavičkou se posune o (IHL − 5) × 4 B.
L4 začíná na 14 + IHL × 4 (obvykle bajt 34). TCP i UDP: zdrojový port 34–35, cílový 36–37. TCP: horní půlbajt bajtu 46 × 4 = délka TCP hlavičky, bajt 47 = příznaky.
Klient, nebo server? Port z taháku (well-known, < 1024) = server. Vysoký port ≥ 49152 (Windows, macOS) nebo 32768–60999 (Linux) = efemérní = klient. Odesílatel je server, když je well-known jeho zdrojový port.
Aplikační data se často dají přečíst v ASCII sloupci (HTTP, SMTP, FTP, banner SSH, DNS jméno).

Offsety pro Ethernet II + IPv4 (IHL 5)

Bajty	Hex	Pole
0–5	00	cílová MAC
6–11	06	zdrojová MAC
12–13	0c	EtherType / Length
14	0e	IP verze + IHL (`45`)
15	0f	Type of Service
16–17	10	Total Length (začátek 2. řádku)
18–19	12	Identification
20–21	14	Flags + Fragment Offset (`40 00` = DF)
22	16	TTL
23	17	Protocol
24–25	18	Header Checksum
26–29	1a	zdrojová IP
30–33	1e	cílová IP (2 bajty na konci 2. řádku, 2 na začátku 3.)
34–35	22	zdrojový port / ICMP Type + Code
36–37	24	cílový port / ICMP Checksum
38–41	26	TCP Seq · UDP Length + Checksum
42–45	2a	TCP Ack · UDP data od 42
46	2e	TCP Data Offset (`50` = 20 B, `80` = 32 B)
47	2f	TCP příznaky
48–49	30	TCP Window
54	36	TCP data (když nejsou volby)

Převody

1 bajt: horní půlbajt × 16 + dolní. a=10 b=11 c=12 d=13 e=14 f=15. Příklad: c0 = 12·16 + 0 = 192.
2 bajty (port, délka): první × 256 + druhý. Příklad: 01 bb = 1·256 + 187 = 443.
Časté: c0 a8 = 192.168 · 0a = 10 · ac 10 = 172.16 · 00 50 = 80 · 01 bb = 443 · 00 35 = 53 · 00 16 = 22 · 00 43/00 44 = 67/68.
TCP příznaky: 02 SYN · 12 SYN+ACK · 10 ACK · 18 PSH+ACK · 11 FIN+ACK · 04 RST · 14 RST+ACK. (Bity: 20 URG, 10 ACK, 08 PSH, 04 RST, 02 SYN, 01 FIN.)
TTL napoví OS: výchozí 64 (Linux, macOS, Android), 128 (Windows), 255 (routery). Počet hopů = výchozí − aktuální.
Multicast MAC: 01:00:5e:… IPv4 multicast (dolních 23 bitů IP) · 01:80:c2:00:00:00 STP · 01:00:0c:cc:cc:cc CDP · 33:33:… IPv6.
DNS jméno: délka labelu + znaky, na konci 00. Příklad: 06 73 65 7a 6e 61 6d 02 63 7a 00 = 6 „seznam“ 2 „cz“ = seznam.cz.