Packet Sniffer es una herramienta integrada en MikroTik RouterOS que permite capturar paquetes de red para analizar problemas de conectividad, comunicaciones entre dispositivos y funcionamiento de diferentes protocolos.
En este tutorial aprenderemos a capturar tráfico de red en MikroTik, guardarlo en un archivo PCAP y analizarlo posteriormente con Wireshark.
¿Qué es Packet Sniffer?
Packet Sniffer permite registrar el tráfico que pasa por las interfaces de un router MikroTik. Es especialmente útil para diagnosticar problemas relacionados con:
- Conexiones TCP y UDP.
- Consultas DNS.
- Comunicaciones SIP y VoIP.
- Problemas de conectividad.
- Puertos utilizados por aplicaciones.
- Retransmisiones y pérdidas de paquetes.
Las capturas pueden guardarse para analizarlas con Wireshark, un programa gratuito especializado en el análisis de protocolos de red.
Acceder a Packet Sniffer en MikroTik
Desde WinBox accedemos a Tools → Packet Sniffer
Dentro de su configuración encontraremos tres pestañas:
- General: configura el archivo y los límites de captura.
- Streaming: permite enviar paquetes en tiempo real a otro equipo.
- Filter: permite seleccionar qué tráfico queremos capturar.
Para este ejemplo guardaremos la captura directamente en el MikroTik, por lo que no necesitamos activar Streaming.
Configurar la captura de tráfico
En la pestaña General configuramos:
| Parámetro | Valor |
|---|---|
| File Name | captura_red.pcap |
| File Limit | 10 MiB |
| Only Headers | No |
| Streaming Enabled | No |
A continuación, entramos en Filter para seleccionar el tráfico que queremos registrar.
Por ejemplo, si necesitamos capturar las comunicaciones UDP de un dispositivo con IP 192.168.1.100:
| Parámetro | Valor |
|---|---|
| Interfaces | bridge |
| IP Address | 192.168.1.100/32 |
| IP Protocol | 17 (udp) |
| Port | Vacío |
| Direction | any |
Dejamos el puerto vacío para capturar las comunicaciones UDP independientemente del puerto utilizado.
Importante: debemos seleccionar una interfaz por la que realmente circule el tráfico. Si pertenece a un bridge, podemos capturar directamente desde la interfaz física, aunque algunos paquetes procesados mediante hardware offloading podrían no ser visibles.
Iniciar y guardar la captura
Una vez configurados los filtros, pulsamos Start en Packet Sniffer. Reproducimos el problema que queremos investigar, como un fallo de conexión, un registro SIP o una comunicación entre dispositivos. Cuando terminemos, pulsamos Stop. El archivo generado estará disponible en WinBox → Files.
Desde allí podemos descargar captura_red.pcap a nuestro ordenador.
En RouterOS 7.20 y versiones posteriores, el contenido se guarda en formato PCAPNG, aunque el nombre del archivo termine en .pcap. Wireshark admite ambos formatos.
Capturar tráfico desde la terminal MikroTik
También podemos realizar la captura mediante comandos desde la terminal de RouterOS.
Configuramos los filtros y el archivo de salida:
/tool sniffer set filter-interface=sfp4 filter-ip-address=192.168.1.100/32 filter-ip-protocol=udp filter-port="" file-name=captura_red.pcap file-limit=10240KiB only-headers=no streaming-enabled=noIniciamos la captura:
/tool sniffer startUna vez reproducido el problema, la detenemos:
/tool sniffer stopEl archivo resultante se puede descargar desde WinBox.
Analizar el tráfico con Wireshark
Descargamos Wireshark desde su página oficial https://www.wireshark.org/download.html.
Una vez instalado, abrimos el programa y seleccionamos File → Open Seleccionamos el archivo generado por MikroTik.
Wireshark mostrará los paquetes capturados, indicando las direcciones IP de origen y destino, protocolos, puertos e información de cada comunicación.
Filtros básicos de Wireshark
Podemos utilizar los siguientes filtros en la barra superior para localizar tráfico específico:
| Filtro | Función |
|---|---|
ip.addr == 192.168.1.100 | Tráfico de una IP |
tcp | Paquetes TCP |
udp | Paquetes UDP |
dns | Consultas y respuestas DNS |
sip | Señalización SIP |
udp.port == 5060 | Tráfico UDP del puerto 5060 |
tcp.analysis.retransmission | Posibles retransmisiones TCP |
Estos filtros permiten visualizar únicamente los paquetes que nos interesan sin modificar la captura original.
Analizar llamadas SIP y VoIP
Si hemos capturado tráfico de telefonía IP, podemos introducir el filtro:
sipAsí podremos examinar mensajes como REGISTER, INVITE, 200 OK o BYE.
Además, desde Telephony → VoIP Calls podemos localizar llamadas y visualizar gráficamente el intercambio de mensajes mediante Flow Sequence.
También podemos seleccionar un paquete y consultar sus cabeceras UDP o TCP para comprobar los puertos de origen y destino realmente utilizados.
Recomendaciones para redes en producción
En routers MikroTik que gestionan muchos usuarios, especialmente en entornos ISP/WISP, es recomendable limitar las capturas mediante filtros por IP, interfaz y protocolo.
También conviene establecer un tamaño máximo para evitar archivos excesivamente grandes y detener la captura cuando tengamos los paquetes necesarios.
Debemos recordar que los archivos PCAP pueden contener información sensible, por lo que es importante almacenarlos y compartirlos de forma segura.
Capturar tráfico de red en MikroTik con Packet Sniffer y analizarlo con Wireshark permite identificar problemas de comunicación de forma rápida y precisa.
Esta combinación proporciona una herramienta muy útil para técnicos informáticos y administradores de redes que necesitan comprobar qué paquetes envían y reciben sus dispositivos, detectar errores y diagnosticar incidencias de conectividad o telefonía VoIP.