主页 / computer / 问题 / 1554552
Accepted
cablewelo2ma
Asked: 2020-05-24 17:49:16 +0800 CST

arp扫描如何跨网络层？

  • 772

我的网络中有以下设置：

                                               cc:cc:cc:cc:cc:cc             -------- 192.168.1.5/24 phone     bb:bb:bb:bb:bb:bb
       (other networks and internet) --- 45.53.234.5 router 192.168.1.1/24   -------- 192.168.1.2/24 laptop_2  aa:aa:aa:aa:aa:aa
                                                                             -------- 192.168.1.3/24 laptop_3  
                                                                             -------- 192.168.1.4/24 desktop   dd:dd:dd:dd:dd:dd

路由器 (192.168.1.1/24) 设置为默认网关，并通过单独的 nic 连接到 192.168.1.0/24 子网上的 4 台设备中的每台设备（意味着每个设备都在单独的链路上）。

现在，当笔记本电脑_2 (192.168.1.2) 想要向手机 (192.168.1.5) 发送有关 ARP 的内容时，会发生这种情况：

  1. notebook_2查看路由表看下一跳在哪里，通过网卡看到下一跳是192.168.1.1
  2. notebook_2 尝试通过向 ff:ff:ff:ff:ff:ff 发送 arp 请求来查找 192.168.1.1 的 mac 地址，源为 aa:aa:aa:aa:aa:aa
   on the ARP level, the packet will have: 
sender mac : aa:aa:aa:aa:aa:aa
sender ip  : 192.168.1.2
target mac : 00:00:00:00:00:00
target ip  : 192.168.1.1
  1. 路由器会回复告诉它它的mac地址 cc:cc:cc:cc:cc:cc
  2. 然后路由器将使用电话 192.168.1.5 执行这 3 个确切步骤，然后将笔记本电脑_2 的消息转发给它

我用wireshark分析了我的网络，上面所有的事情都发生了。

然后我尝试在笔记本电脑_2上运行 unix 实用程序arp-scan，如下所示：arp-scan 192.168.1.0/24

我假设这个实用程序强制使用 arp 数据包进行网络发现，但根据我的理解，它应该只能发现默认网关的 mac 地址（cc:cc:cc:cc:cc:cc）

所以 notebook_2 发送带有源 aa:aa:aa:aa:aa:aa 和目标 ff:ff:ff:ff:ff:ff 的 arp 请求

on the ARP level, the packets look like this:
sender mac : aa:aa:aa:aa:aa:aa
sender ip  : 192.168.1.2
target mac : 00:00:00:00:00:00
target ip  : 192.168.1.4

此数据包重复 256 次（目标 ip 更改为子网 /24 中的 256 个地址中的每一个）

由于路由器与 ip 192.168.1.4 不匹配，因此它不应该回复任何内容，或者如果它启用了代理 ARP，它应该回复它自己的 mac 地址 cc:cc:cc:cc:cc:cc

另外，我读到 arp 代理是对错误的响应，即 notebook_2 192.168.1.2 认为它直接连接到 192.168.1.4（在同一链接上），但实际上情况并非如此，不应该t 甚至发送这个 ARP 请求到那里。

但是，wireshark 显示的是 192.168.1.1 将所有这些 ARP 请求数据包原样转发到 192.168.1.0/24 子网（电话、笔记本电脑_3、台式机......）上连接到它的所有设备，我不明白为什么。

此外，桌面 192.168.1.4 甚至回复相应的一个数据包，其中源 dd:dd:dd:dd:dd:dd 和目标 aa:aa:aa:aa:aa:aa

on the ARP level, the packet looks like this:
sender mac : dd:dd:dd:dd:dd:dd
sender ip  : 192.168.1.4
target mac : aa:aa:aa:aa:aa:aa
target ip  : 192.168.1.2

此数据包被发送到路由器，然后路由器将其转发到笔记本电脑_2 192.168.1.2

我不明白这是怎么可能的，因为这些所有设备都使用单独的网卡（因此，单独的链接）连接到路由器，路由器甚至不可能接受这个 arp 回复，因为它的目标 mac 甚至没有属于它的网卡，所以它应该被丢弃。

我能想象的唯一场景笔记本电脑_1 arp发现网关以外的设备是在总线拓扑网络上，所有设备都连接在一个链路上

router subnet

1 个回答

  1. Best Answer

    路由器（192.168.1.1/... 通过单独的 nic 连接到 192.168.1.0/24 子网上的 4 个设备中的每一个

    不见得。如果您指的是消费者路由器盒，它们通常包含 1-4 个实际上是交换/桥接的 LAN 端口。路由器功能在内部连接到同一交换机。

    如果这些端口是路由端口，则每个端口都需要配置单独的 IP 子网。然后，ARP 请求不会穿过这些端口，来自另一个子网/网段的 MAC 地址也不会引起任何兴趣。

    路由器会回复告诉它它的mac地址 cc:cc:cc:cc:cc:cc

    不，响应的是目标节点——电话，而不是路由器。

    路由器本身实际上并不参与本地 ARP 解析。将广播 ARP 请求转发到所有 LAN 端口的是盒子内的交换机。

    然后我尝试在laptop_2上运行unix实用程序arp-scan，如下所示：arp-scan 192.168.1.0/24

    我假设这个实用程序强制使用 arp 数据包进行网络发现，但根据我的理解，它应该只能发现默认网关的 mac 地址（cc:cc:cc:cc:cc:cc）

    该实用程序尝试依次解析所有子网 IP 地址。当前连接到 LAN 端口（或其他交换机）的所有设备都应返回 ARP 回复。它不限于默认网关的 IP。

    您的困惑是由非常常见的消费者路由器盒中塞满的众多功能引起的。大多数包含路由器、DHCP 服务器、DNS 服务器、Web 服务器、交换机和（桥接）无线接入点。也可能是 DSL 调制解调器、4G/5G 无线电、用于 NAS 功能的文件服务器、SIP 网关、DECT 基站……

    • 3

相关问题