"request-for-comment" <nouser@nohost.nodomain.invalid> wrote:
> Efter i mange år at have brugt ADSL er jeg nu skiftet over til webspeed.
> Når jeg kører ethereal kan jeg at der er en pæn del arp forespørgsler, både
> som "mit" modem initierer men også hvor andre hosts spørger om tredje hosts.
Du tænker på noget i stil med:
23:53:31.990648 arp who-has 80.196.35.23 tell 80.196.35.1
23:53:32.254877 arp who-has 80.196.35.170 tell 80.196.35.1
23:53:32.979426 arp who-has 80.196.35.207 tell 80.196.35.1
23:53:33.025420 arp who-has 80.196.35.254 tell 80.196.35.1
23:53:33.824662 arp who-has 80.167.217.121 tell 80.167.217.1
23:53:34.255562 arp who-has 80.196.35.170 tell 80.196.35.1
23:53:35.285151 arp who-has 80.167.217.168 tell 80.167.217.1
23:53:35.821546 arp who-has 80.196.35.77 tell 80.196.35.1
23:53:35.878187 arp who-has 80.196.35.207 tell 80.196.35.1
23:53:36.312717 arp who-has 80.196.35.170 tell 80.196.35.1
23:53:36.336699 arp who-has 80.167.217.193 tell 80.167.217.1
23:53:36.723275 arp who-has 80.167.217.183 tell 80.167.217.1
23:53:36.882206 arp who-has 80.167.217.121 tell 80.167.217.1
23:53:37.076683 arp who-has 80.196.35.237 tell 80.196.35.1
23:53:37.923947 arp who-has 80.196.35.50 tell 80.196.35.1
23:53:38.199191 arp who-has 80.196.35.145 tell 80.196.35.1
23:53:38.451036 arp who-has 80.196.35.170 tell 80.196.35.1
23:53:38.755797 arp who-has 80.196.35.92 tell 80.196.35.1
(tcpdump)
> Nogen der kan give en forklaring på dette ( må godt være lidt langhåret -
> men helst ikke super langhåret )
IP bruger IP-adresser. Ethernet bruger MAC-adresser. Hvis IP kører oven på
ethernet skal der på ethernet-laget bruges MAC-adresser. Derfor bliver
maskiner nødt til at kunne finde en MAC-adresse ud fra en IP-adresse. Hvis
maskine A vil have MAC-adressen for en maskine B (for at kunne sende til
den), så broadcaster A en arp-request med B's IP-adresse i, B modtager
arp-requesten og ser, at dens IP-adresse er nævnt i den, B svarer derfor
tilbage til A med sin MAC-adresse.
Sådan fungerer det på lokalnetværk, men Webspeed er åbenbart bygget op på
nogenlunde samme måde.
Når en router på Webspeed modtager en pakke til en IP-adresse den ikke
kender MAC-adressen til, så broadcaster den en arp-request.
Antallet af maskiner, der broadcastes til, kan ikke være helt lille, når
man tager i betragtning hvor mange IP-adresser man får arp-requests for.
Hvis der kommer et svar på en arp-request til routeren vil den huske
MAC-adressen i et stykke tid og undlade at spørge hver gang. Men hvis der
derimod ikke kommer noget svar, så vil routeren spørge hver eneste gang. Så
størstedelen af de arp-requests man ser er til maskiner, der ikke svarer.
Man kan nogen gange se, at nogen portscanner ens subnet ved, at der kommer
arp-requests for en hel masse adresser i ens subnet, men når turen kommer
til en selv kommer der en pakke fra en og eller anden maskine på internet
til en mistænkelig port i stedet for en arp-request.
Når alle nu modtager de arp-requests, så kunne man tro, at man bare kunne
svare tilbage, at man har den eftersøgte IP-adresse, men den går ikke. Den
går heldigvis ikke, routeren bliver ved med at spørge selvom man har
svaret, så svaret er sandsynligvis blevet filtreret væk et sted inden det
når routeren.
--
Niels, The Offspring Mailinglist
http://home.worldonline.dk/teglsbo