21T37 ARP w Wireshark’u [Tego Nie Wiesz]

Mapowanie MAC-IP

Link do artykułu.

Transkrypcja:

O:00 Wprowadzenie

0:13 Topologia

1:25 Wireshark

3:50 Pakiet Odpowiedzi w części ARP

6:05 Podsumowanie

Cześć! Chciałbyś zobaczyć, jak wyglądają szczegółowe parametry protokołu ARP w Wiresharku? Jeżeli tak, to w tym odcinku pokażę, jak ten protokół działa.

Najpierw topologia. Mamy tutaj prostą sytuację, mamy PC, adres IP tego PC na tym interfejsie, który teraz będziemy obserwować, to jest 192.168.0.107. To jest adres interfejsu PC. Jeżeli chodzi o bramę, to jest 192.168.0.1. Te dwa adresy
będziemy obserwować. Teraz możemy zobaczyć, że jeżeli chodzi o tablicę
routingu, to domyślną bramę, którą będziemy używać, to jest właśnie 192.168.0.1. Możemy to potwierdzić poleceniem route print. Faktycznie tak jest.
Przez interfejs z końcówką 107 na gatewaya 192.168.0.1. Podobnie możemy sobie wyświetlić polecenie netstat-r, tę samą informację, i widzimy, że tablica routingu się przedstawia w ten sam sposób. Te dwa polecenia pokazują tak naprawdę to samo.

Teraz przejdźmy do Whiresharka. W Whiresharku wygenerujemy sobie nasłuchiwanie tego ruchu, a następnie ograniczymy do zawartości tylko protokołu ARP. Będziemy sniffować, nasłuchiwać na interfejsie Wi-fi. Teraz trzeba wygenerować jakiś ruch. Mamy tutaj różne pakiety, które idą, to nas na razie nie interesuje. Ograniczmy teraz filtrem do protokołu ARP. Nic nam się
tu na razie nie pokazuje. Okej, to wygenerujmy w takim razie nowy ruch do Google.pl.

Mamy tutaj dwa pakiety. Możemy się temu bliżej przyjrzeć. Czyli mamy tak: Liteon, to jest karta sieciowa na PC, czyli od komputera idzie pakiet do routera, Tp-Link to jest router, protokołem ARP i w tym protokole idzie zapytanie, jaki MAC adres ma adres IP z końcówką 0.1. Czyli komputer chciałby się dowiedzieć, jaki ma MAC interfejs routera, który jest z przypisanym adresem IP z końcówką 0.1 i odpowiedz, jaki to jest MAC adres unicastem do hosta, do mnie, a ja mam adres 0.107. Na to zapytanie ARP-owe odpowiada router do komputera. Odpowiada tak: 192.168.01, czyli mój adres IP, który posiadam ma MAC adres z końcówką ab:d6 i tak działa ARP, czyli jest najpierw zapytanie broadcastowe, odpowiedź jest unicastem. To Ci jeszcze za chwilę pokażę, że faktycznie tak jest.

Przeskoczymy sobie dalej. Przeanalizujmy sobie teraz pakiet odpowiedzi. Mamy w części tego pakietu, tej części ARP-owej, jak ją rozwiniemy, to możemy sobie zobaczyć, że jest takie pole jak: Sender MAC address i Target MAC address. To jest odpowiedź, czyli patrzymy, że jest sender, czyli komputer o takim MAC adresie i adresie IP wysyła do routera informacje o takim adresie IP, czyli 0.1. To jest pakiet odpowiedzi, czyli tu widzimy, że idą unicasty, bo jest od konkretnego MAC adresu do konkretnego MAC adresu, nie ma tu żadnego broadcastu. Możemy sobie też sprawdzić w tablicy ARP-ów na naszym PC, analizujemy interfejs 0.107 i widzimy, że tu jest wpis ARP-owy, czy adres IP z końcówką 0.1, ma MAC adres dynamicznie nauczony o MAC adresie z końcówką ab:d6.
Czyli dzięki ARP-owi ten system nauczył się, jaki MAC adres ma wstawiać do pakietu, który będzie kierowany na adres 0.101-0.101 to oczywiście bramą, więc wszystkie pakiety, które są spoza sieci 192.168.01, są kierowane na MAC adres
z końcówką ab:d6. Pozostałe wpisy ARP-owe, jak tutaj widzisz, są multicastami i one nas mniej interesują w tym zagadnieniu dzisiejszym.

Jeżeli chodzi o działanie ARP-a, to tyle. Jeżeli masz jakieś pytania, to oczywiście pisz w komentarzu. Tę stronę teoretyczną mocniej rozwinę w moim podcaście, więc jeżeli chcesz posłuchać trochę więcej na temat protokołu ARP i jego zastosowania, to zapraszam Cię do mojego podcastu. Na tyle dzisiaj, dziękuję Ci za uwagę i do zobaczenia już za tydzień.