Como analisar o tráfego Wi-Fi no Wireshark em modo monitor

O que é o modo monitor e por que ele é indispensável

Quando usamos uma placa de rede sem fio no dia a dia, ela opera em modo germanaged, ou seja, conversa apenas com o roteador ou ponto de acesso ao qual está conectada. Qualquer pacote destinado a outros dispositivos no ar é descartado pelo hardware para economizar processamento. Na prática, isso significa que para investigar problemas reais de interferência, lentidão ou queda de pacotes, precisamos alterar o comportamento da placa para o chamado modo monitor.

O modo monitor transforma o adaptador Wi-Fi em um rádio puramente passivo. Ele não se associa a nenhuma rede, mas escuta e captura absolutamente tudo o que trafega em um determinado canal de rádio frequency. Ao contrário de uma conexão comum que enxerga apenas o seu próprio tráfego, aqui você visualiza frames de controle, gerenciamento e dados de qualquer estação ao alcance. Ferramentas como o tcpdump ou o Wireshark dependem diretamente desse recurso no nível do driver para puxar o rádio para dentro do software e expor a verdadeira saúde do meio físico.

Antes de prosseguir com a captura avançada de pacotes sem fio, é altamente recomendável entender as bases operacionais de inspeção de tráfego com fio que cobrimos no artigo sobre como inspecionar pacotes de rede com tcpdump no Linux. Enquanto o tcpdump oferece uma visão rápida e baseada em texto direto no terminal, o Wireshark entrega uma interface rica e profunda para dissecar protocolos complexos. Compreender essa transição entre o mundo cabeado e o sem fio é o primeiro passo para não se perder em meio ao mar de ruído eletromagnético.

Preparando a interface de rede e ativando o modo monitor

Colocar uma placa Wi-Fi em modo monitor exige privilégios administrativos e suporte do chipset do adaptador. Muitos adaptadores modernos em notebooks possuem restrições de driver no Windows, tornando o Linux o sistema operacional favorito para essa tarefa. Para começar, precisamos descobrir o nome exato da interface sem fio usando o comando ip link ou iwconfig no terminal, garantindo que o gerenciador de rede padrão não interfira no processo.

O procedimento padrão no Linux envolve derrubar a interface ativa, criar uma interface virtual em modo monitor usando o utilitário iw e associá-la a um canal específico. Abaixo está o bloco de comandos práticos para realizar essa preparação de forma limpa na sua distribuição Linux:

sudo ip link set wlan0 down
sudo iw wlan0 interface add mon0 type monitor
sudo ip link set mon0 up
sudo iw dev mon0 set channel 6

Na prática, isso significa que a interface chamada mon0 agora está sintonizada exclusivamente no canal 6, ouvindo todos os quadros que passam por ali. Se você precisar analisar outra frequência ou faixa de rádio, basta alterar o número do canal no último comando. Para aprofundar seu conhecimento sobre o comportamento errático do meio sem fio e como o ruído afeta a estabilidade, vale a pena consultar o guia detalhado sobre por que o Wi-Fi cai e como rastrear interferência.

Iniciando a captura e entendendo os frames 802.11

Com a interface em modo monitor pronta, abra o Wireshark e selecione a interface recém-criada (como mon0) para iniciar a gravação. Ao contrário das redes Ethernet tradicionais, onde vemos pacotes IP e TCP puros, o tráfego Wi-Fi é encapsulado pelo padrão IEEE 802.11. Isso quer dizer que cada pacote capturado possui cabeçalhos específicos que indicam a força do sinal, a taxa de transmissão negociada, o tipo de quadro e o endereço MAC de origem e destino.

No Wireshark, esses quadros são divididos em três grandes categorias principais: quadros de gerenciamento, que controlam a associação, autenticação e beacons das redes; quadros de controle, que ajudam a coordenar o acesso ao meio e evitam colisões; e quadros de dados, que carregam o tráfego real dos usuários. Na prática, gargalos de rede costumam se esconder exatamente nos quadros de gerenciamento excessivos ou em retransmissões constantes de dados causadas por perda de pacotes no ar.

Para monitorar de forma contínua o desempenho do tráfego sem fio em ambientes de alta densidade e correlacionar essas métricas com o consumo de banda geral, você também pode aplicar conceitos discutidos em como monitorar tráfego de rede no Linux em tempo real com bpfTOP. Embora o bpfTOP foque em conexões IP ativas, cruzar essa análise de camada de aplicação com os dados brutos de rádio do Wireshark revela exatamente onde o gargalo se origina.

Identificando gargalos, perdas e retransmissões no Wireshark

Um dos maiores indicadores de problemas em redes sem fio é a alta taxa de retransmissão de quadros de dados. Quando um dispositivo envia um pacote e não recebe o reconhecimento imediato (ACK) do roteador, ele assume que o pacote se perdeu no ar devido a interferência ou atenuação e tenta enviá-lo novamente. No Wireshark, você pode identificar isso facilmente observando a flag de Retry nos detalhes do cabeçalho 802.11 ou filtrando pacotes duplicados.

Para isolar o tráfego problemático, utilize filtros de exibição específicos na barra superior do Wireshark. Digitar wlan.fc.retry == 1 restringe a visão apenas aos pacotes que precisaram ser retransmitidos, mostrando imediatamente quais dispositivos estão sofrendo para manter uma conexão estável. Se a porcentagem desses pacotes ultrapassar um limite saudável (geralmente acima de 5% a 10%), você tem a prova matemática de que o canal está congestionado ou há obstáculos físicos severos prejudicando a propagação das ondas.

Considerações finais sobre a análise de redes sem fio

Dominar a captura de pacotes sem fio com o Wireshark em modo monitor eleva a capacidade de diagnóstico de qualquer profissional de redes de um nível empírico para uma abordagem puramente baseada em evidências. Em vez de adivinhar o motivo de uma queda de sinal ou de uma lentidão intermitente, você passa a enxergar exatamente o que o rádio está dizendo, identificando canais sobrepostos, ruídos excessivos e clientes mal configurados.

A prática constante de isolar frames, decodificar cabeçalhos 802.11 e analisar taxas de retransmissão garante que você resolva problemas complexos de infraestrutura com rapidez e precisão. Combine essas técnicas de inspeção de rádio com o monitoramento contínuo de portas e rotas para manter qualquer ambiente corporativo ou doméstico operando com máxima eficiência.