PDA

Просмотр полной версии : Странный ARP-запрос


ganimed
11.09.2009, 11:04
Обнаружил странные arp-запросы от ряда машин в сети

2. 999985 arp who-has 188.1.50.3 (cc:cc:cc:cc:cc:cc) tell 188.1.50.3
2. 999986 arp who-has 188.1.50.3 (cc:cc:cc:cc:cc:cc) tell 188.1.50.3
2. 999975 arp who-has 188.1.50.3 (cc:cc:cc:cc:cc:cc) tell 188.1.50.3
3. 000010 arp who-has 188.1.50.3 (cc:cc:cc:cc:cc:cc) tell 188.1.50.3
3. 006963 arp who-has 188.1.50.3 (cc:cc:cc:cc:cc:cc) tell 188.1.50.3
2. 992998 arp who-has 188.1.50.3 (cc:cc:cc:cc:cc:cc) tell 188.1.50.3
499979 arp who-has 188.1.50.3 (00:13:46:d8:f9:76) tell 188.1.50.3
2. 133793 IP 188.1.50.3.1900 > 239.255.255.250.1900: UDP, length 250
000204 IP 188.1.50.3.1900 > 239.255.255.250.1900: UDP, length 250
000203 IP 188.1.50.3.1900 > 239.255.255.250.1900: UDP, length 250
000004 IP 188.1.50.3.1900 > 239.255.255.250.1900: UDP, length 250
000204 IP 188.1.50.3.1900 > 239.255.255.250.1900: UDP, length 257
000007 IP 188.1.50.3.1900 > 239.255.255.250.1900: UDP, length 257

Такая же история еще с несколькими машинами.
udp-датаграммы в принципе то вопросов не вызывают, но в сочетании с запросами заставляют и на себя обратить внимание. Не подскажите, что это может быть такое?

devton
11.09.2009, 11:27
это самообращенные широковещательные арп-запросы - такое предусмотрено в RFC

эти широковещательные пакеты получат все копы в сети и обновят свою арп-таблицу в соответствии с данными из этого пакета. А у владельца данного айПи/мак выскочит сообщение об ошибке. Те эти пакеты блокируют весь входящий трафик к айпи 188.1.50.3 (тк в пакетах не его мак а хрень сс:сс:сс:сс:сс:сс)