Cómo analizar el tráfico Wi-Fi en Wireshark en modo monitor

Qué es el modo monitor y por qué es indispensable

Cuando utilizamos una tarjeta de red inalámbrica en el día a día, opera en modo managed, es decir, se comunica únicamente con el router o punto de acceso al cual está conectada. Cualquier paquete destinado a otros dispositivos en el aire es descartado por el hardware para ahorrar potencia de procesamiento. En la práctica, esto significa que para investigar problemas reales de interferencia, lentitud o pérdida de paquetes, necesitamos cambiar el comportamiento del adaptador al llamado modo monitor.

El modo monitor transforma el adaptador Wi-Fi en una radio puramente pasiva. No se asocia a ninguna red, sino que escucha y captura absolutamente todo lo que transita por un canal de radiofrecuencia específico. A diferencia de una conexión estándar que solo ve su propio tráfico, aquí puedes visualizar tramas de control, gestión y datos de cualquier estación al alcance. Herramientas como tcpdump o Wireshark dependen directamente de esta capacidad a nivel de controlador para extraer el flujo de radio hacia el software y exponer la verdadera salud del medio físico.

Antes de avanzar con la captura avanzada de paquetes inalámbricos, es muy recomendable comprender las bases operativas de inspección de tráfico por cable cubiertas en nuestra guía sobre cómo inspeccionar paquetes de red con tcpdump en Linux. Mientras que tcpdump ofrece una vista rápida basada en texto directamente en la terminal, Wireshark proporciona una interfaz rica y profunda para diseccionar protocolos complejos. Comprender esta transición entre el mundo cableado y el inalámbrico es el primer paso para no perderse en medio del ruido electromagnético.

Preparando la interfaz de red y activando el modo monitor

Poner una tarjeta Wi-Fi en modo monitor requiere privilegios de administrador y soporte de controlador en el chipset. Muchos adaptadores modernos en portátiles tienen restricciones de controladores en Windows, haciendo de Linux el sistema operativo favorito para esta tarea. Para empezar, necesitamos descubrir el nombre exacto de la interfaz inalámbrica usando el comando ip link o iwconfig en la terminal, asegurando que el administrador de red predeterminado no interfiera en el proceso.

El procedimiento estándar en Linux implica desactivar la interfaz activa, crear una interfaz virtual en modo monitor usando la utilidad iw y asociarla a un canal específico. A continuación se muestra el bloque de comandos prácticos para realizar esta configuración de manera limpia en tu distribución Linux:

sudo ip link set wlan0 down
sudo iw wlan0 interface add mon0 type monitor
sudo ip link set mon0 up
sudo iw dev mon0 set channel 6

En la práctica, esto significa que la interfaz llamada mon0 ahora está sintonizada exclusivamente en el canal 6, escuchando todas las tramas que pasan por allí. Si necesitas analizar otra frecuencia o rango de radio, simplemente cambia el número de canal en el último comando. Para profundizar tu comprensión sobre el comportamiento errático del medio inalámbrico y cómo el ruido afecta la estabilidad, vale la pena consultar la guía detallada sobre por qué se cae el Wi-Fi y cómo rastrear interferencias.

Iniciando la captura y entendiendo las tramas 802.11

Con la interfaz en modo monitor lista, abre Wireshark y selecciona la interfaz recién creada (como mon0) para iniciar la grabación. A diferencia de las redes Ethernet tradicionales, donde vemos paquetes IP y TCP puros, el tráfico Wi-Fi está encapsulado por el estándar IEEE 802.11. Esto significa que cada paquete capturado contiene cabeceras específicas que indican la fuerza de la señal, la tasa de transmisión negociada, el tipo de trama y las direcciones MAC de origen y destino.

En Wireshark, estas tramas se dividen en tres grandes categorías: tramas de gestión, que controlan la asociación, autenticación y balizas de las redes; tramas de control, que ayudan a coordinar el acceso al medio y evitan colisiones; y tramas de datos, que transportan el tráfico real de los usuarios. En la práctica, los cuellos de botella de la red suelen esconderse exactamente en tramas de gestión excesivas o en retransmisiones constantes de datos causadas por pérdidas de paquetes en el aire.

Para monitorear de forma continua el rendimiento del tráfico inalámbrico en entornos de alta densidad y correlacionar estas métricas con el consumo general de ancho de banda, también puedes aplicar conceptos discutidos en cómo monitorizar tráfico de red en Linux en tiempo real con bpfTOP. Aunque bpfTOP se centra en conexiones IP activas, cruzar ese análisis de capa de aplicación con los datos de radio en crudo de Wireshark revela exactamente dónde se origina el cuello de botella.

Identificando cuellos de botella, pérdidas y retransmisiones en Wireshark

Uno de los mayores indicadores de problemas en redes inalámbricas es una alta tasa de retransmisión de tramas de datos. Cuando un dispositivo envía un paquete y no recibe un reconocimiento inmediato (ACK) del router, asume que el paquete se perdió en el aire debido a interferencias o atenuación y trata de enviarlo de nuevo. En Wireshark, puedes identificar esto fácilmente observando la marca de Retry en los detalles de la cabecera 802.11 o filtrando paquetes duplicados.

Para aislar el tráfico problemático, utiliza filtros de visualización específicos en la barra superior de Wireshark. Escribir wlan.fc.retry == 1 restringe la vista únicamente a los paquetes que requirieron retransmisión, mostrando al instante qué dispositivos están sufriendo para mantener una conexión estable. Si el porcentaje de estos paquetes supera un umbral saludable (por lo general por encima del 5% al 10%), tienes la prueba matemática de que el canal está congestionado o existen obstáculos físicos severos perjudicando la propagación de ondas.

Consideraciones finales sobre el análisis de redes inalámbricas

Dominar la captura de paquetes inalámbricos con Wireshark en modo monitor eleva la capacidad de diagnóstico de cualquier profesional de redes de un nivel empírico a un enfoque puramente basado en evidencias. En lugar de adivinar el motivo de una caída de señal o una lentitud intermitente, pasas a ver exactamente lo que la radio está diciendo, identificando canales solapados, ruidos excesivos y clientes mal configurados.

La práctica constante de aislar tramas, decodificar cabeceras 802.11 y analizar tasas de retransmisión garantiza que resuelvas problemas complejos de infraestructura con rapidez y precisión. Combina estas técnicas de inspección de radio con el monitoreo continuo de puertos y rutas para mantener cualquier entorno corporativo u hogareño operando con máxima eficiencia.