Wireshark网络分析实战笔记ARP和IP
Posted nceuaprsf
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Wireshark网络分析实战笔记ARP和IP相关的知识,希望对你有一定的参考价值。
ARP
工作场景中ARP数据包的数量级:
每台IP设备每分钟1-2个ARP数据包纯属合理。比方说,若网络中的设备数为100,则每分钟诞生200-300个或每秒钟诞生3-4个ARP数据包是合理的
即使每秒产生的数据包略多于3-4个(比如5-10个),也未必就有问题,但需要仔细查找原因
代理ARP的应用场合:
在一台路由器之前部署了WAN加速/优化设备:一旦将这种WAN加速/优化设备配置为桥接透明模式运行,此设备就会代替路由器应答ARP请求数据包
在服务器之前部署了以透明模式运行的防火墙、WAF以及其他设备
运行了某种特殊的软件:这种特殊的软件会安装在某台服务器上,但需为之分配一个有别于服务器的IP地址
IP
用源、目的DNS名称取代源、目的IP地址显示:
使用方法:在view菜单中选择name resolution菜单栏下enable for the network layer
wireshark会借用主机配置的DNS服务器,来执行IP地址和域名之间的转换。
把所抓数据包的源、目的IP地址转换为名称来显示,能有助于发现异常流量:
1、访问某特定公司不允许的web站点流量
2、软件自动升级所触发的流量
3、安装在内网主机的浏览器上的工具栏插件所触发的汹涌流量
利用GeoIP来查询IP地址的归属地:
wireshark支持GeoIP数据库来查询所抓数据包中的IP地址的归属地信息(包括:国家、城市、AS等)
使用方法:
1、访问网站:http://dev.maxmind.com/zh-hans/geoip/legacy/geolite/ 下载数据库二进制文件
2、在wireshark上点击edit菜单中preferences选项,在preferences窗口中选中name resolution参数,再点击GeoIP database directories旁的edit按钮
3、在弹出的窗口中指定下载的数据库二进制文件所在文件的位置
4、重启wireshark后,可在endpoints工具中的IPv4标签栏中看到GeoIP消息
5、在主窗口的数据包结构显示GeoIP消息:点击edit菜单栏中的preferences选项,在preferences窗口中选中protocol参数,再选中IPv4协议,勾选enable GeoIP lookup
IP包分片问题
最大传输单元(MTU):是指由IP包头和数据部分组成的IP数据包的长度
最大报文段大小(MMS):是指TCP报文段内数据净载的最大长度,亦即上层协议交付给TCP的每个数据单元的最大长度
以上是关于Wireshark网络分析实战笔记ARP和IP的主要内容,如果未能解决你的问题,请参考以下文章