URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID10
Нить номер: 2038
[ Назад ]

Исходное сообщение
"Помогите расшифровать вывод tcpdump"
Отправлено alexvs , 16-Апр-05 22:28

На шлюзе ловлю следующие пакеты:
13:47:22.498275 192.168.1.129.1891 > 191.168.1.1.4480: S 18366623:18366623(0) win 8192 <mss 1460,nop,nop,sackOK>(DF)
13:47:25.406244 192.168.1.129.1891 > 191.168.1.1.4480: S 18366623:18366623(0) win 8192 <mss 1460,nop,nop,sackOK>(DF)
13:47:31.404889 192.168.1.129.1891 > 191.168.1.1.4480: S 18366623:18366623(0) win 8192 <mss 1460,nop,nop,sackOK>(DF)
13:47:43.455126 192.168.1.129.1891 > 191.168.1.1.4480: S 18366623:18366623(0) win 8192 <mss 1460,nop,nop,sackOK>(DF)
хотя шлюз это 192.168.1.254, а не 129 или 1. За день порядка 4 тыс. таких пакетов попадает на шлюз. Что б эти пакеты значили?

Содержание

Помогите расшифровать вывод tcpdump,Асен Тотин, 14:16 , 17-Апр-05
- Помогите расшифровать вывод tcpdump,alexvs, 00:15 , 18-Апр-05
  - Помогите расшифровать вывод tcpdump,unk, 08:03 , 18-Апр-05
    - Помогите расшифровать вывод tcpdump,Асен Тотин, 11:01 , 18-Апр-05

Сообщения в этом обсуждении

"Помогите расшифровать вывод tcpdump"
Отправлено Асен Тотин , 17-Апр-05 14:16

Привет,
tcpdump ставит ваш сетевой интерфейс в promiscous mode, т.е. он начинает "докладывать" весь трафик, который он видит, даже если трафик не предназначен ему. Возможно, в вашей сети стоит hub, а не switch; возможно, источник пакетов ошибочно задал свой gateway или сетевую маску и шлет через gateway пакеты, которые мог бы переслать прямо по сети...
WWell,

"Помогите расшифровать вывод tcpdump"
Отправлено alexvs , 18-Апр-05 00:15

>tcpdump ставит ваш сетевой интерфейс в promiscous mode, т.е. он начинает "докладывать"
>весь трафик, который он видит, даже если трафик не предназначен ему.
>Возможно, в вашей сети стоит hub, а не switch;
Точно. А я и забыл что ещё где-то хабы используються.
А что такие пакеты могут означать? Случайно они не указывают что на 192.168.1.1 кто-то заюзал прокси?

"Помогите расшифровать вывод tcpdump"
Отправлено unk , 18-Апр-05 08:03

>А что такие пакеты могут означать? Случайно они не указывают что на
>192.168.1.1 кто-то заюзал прокси?
По преведенному вами выводу tcpdump это не определить. Если 192.168.1.1 отвечает на эти SYN, то там может быть и прокси.
Послушайте еще, натравите на 192.168.1.1 nmap.

"Помогите расшифровать вывод tcpdump"
Отправлено Асен Тотин , 18-Апр-05 11:01

Привет,
Или запустите tcpdump с ключами "-o filename -s 0" и затем рассмотрите содержимое пакетов через "tcpdump -r filename -X" - если это прокси, то наверняка увидите HTTP заявку и ее полное содержимое...
WWell,