다량의 ARP 패킷이 수신되는 것이 정상인가요?
글쓴이: esrevinu / 작성시간: 토, 2005/12/03 - 2:42오후
학교안인데요 gnome-panel에 있는 네트워크 감시 애플릿을 보니까 송신 패킷은 증가되지 않는데 수신 패킷은 엄청나게 증가하고 있어서 이게 정상적인가 해서 질문드립니다. 계속 수신을 하다보니 애플릿 그림에서 뒤쪽 모니터에는 불이 꺼지질 않습니다.
전에는 이러지 않았던 것 같은데...
ethereal이라는 프로그램으로 무슨 패킷인가 캡쳐해 봤는데 대부분 ARP 프로토콜이고 Info field에는 'Who has xxx.xxx.xxx.xxx? Tell yyy.yyy.yyy.yyy'라고 써있습니다. 그런데 윈도우즈의 애플릿 비슷한 것에서는 전혀 잡히지 않더군요. 왜 그런 건가요?
ARP 의 Destination field에는 Intel_1b:xx:xx 와 같은 것이 써 있네요. Toshiba 도 있고, Kawasaki, Sony, LgElectr, Hana, Aopen, 3com, ... broadcast도 써 있는 것도 있습니다. Source는 세개 정도의 아이피가 거의 대부분을 차지합니다.
Forums:
네트워크에서 xxx.xxx.xxx.xxx 의 IP 를 가진 장비의 MAC
네트워크에서 xxx.xxx.xxx.xxx 의 IP 를 가진 장비의 MAC 주소를 yyy.yyy.yyy.yyy 로 보내달라고 요청하는거 아닌가요?
hiseob님 말씀 대로 ARP는 IP 주소를 가지고 하드웨어 MAC 주
hiseob님 말씀 대로 ARP는 IP 주소를 가지고 하드웨어 MAC 주소를 알아내는 프로토콜입니다. 평상시에도 어느 정도의 ARP 통신량은 있는 게 보통이지만
- 트래픽의 양이 유달리 많고
- 다른 호스트들은 조용한데 특정 호스트가 유난히 많이 트래픽을 만들어 내고
- 연속된 ARP 요청에 어떤 패턴이 있다면 (IP 주소의 마지막 자리가 차례대로 증가한다던가)
ARP 패킷을 마구 날리고 있는 호스트가 웜에 감염되어 있는 가능성을 의심해 보실 수 있습니다.----
ARP의 Source/Destination field에 있는 Intel_1b:xx:xx 등은 약간 풀어쓴 MAC 주소입니다. MAC 주소는 6자리 숫자로 이뤄져 있는데 앞의 3자리는 LAN 카드 제작사를 가리킵니다. 뒤의 3자리는 같은 회사 내에서 생산된 제품마다 다른 값을 부여하는 거구요. Intel과 Kawasaki, Sony, LgElectr, ... 굉장히 다양한 장비들이 네트워크에 물려 있나보군요-
[/]$PWD `date`
정상이라고 생각됩니다.arp 는 데이터 링크 계층의 프로토콜이라 정확
정상이라고 생각됩니다.
arp 는 데이터 링크 계층의 프로토콜이라 정확한 목적지에 응답을 해 줄수가 없죠.
그래서 arp 는 같은 네트워크에 브로드캐스트로 reply 합니다.
저 같은 경우도, 학교 네트워크에 컴퓨터를 물려서 쓰는데..
특별히 다른 작업을 하지 않아도 50% 이상 정도 arp 패킷이 차지하더군요.
'윈도우즈의 애플릿 비슷한 것'에서는 필터링을 해서 tcp나 udp 정도만 캡쳐하지 않을까 싶네요..
Emerging the World!
제 경우에 집에서 관찰해보면 적게는 초당 600바이트부터 많게는 5k바
제 경우에 집에서 관찰해보면 적게는 초당 600바이트부터 많게는 5k바이트까지 들어옵니다.
--------Signature--------
시스니쳐 생각 중..
댓글 달기