การวิเคราะห์แพ็กเก็ต ARP ด้วย Wireshark

Arp Packet Analysis With Wireshark



โดยทั่วไปจะใช้โปรโตคอลการแก้ปัญหาที่อยู่เพื่อค้นหาที่อยู่ MAC ARP เป็นโปรโตคอลเลเยอร์ลิงค์ แต่จะใช้เมื่อ IPv4 ถูกใช้ผ่านอีเทอร์เน็ต

ทำไมเราถึงต้องการ ARP?

มาทำความเข้าใจกับตัวอย่างง่ายๆ







เรามีคอมพิวเตอร์หนึ่งเครื่อง [PC1] ที่มีที่อยู่ IP 192.168.1.6 และเราต้องการปิงไปยังคอมพิวเตอร์เครื่องอื่น [PC2] ที่มีที่อยู่ IP คือ 192.168.1.1 ขณะนี้เรามีที่อยู่ PC1 MAC แต่เราไม่ทราบที่อยู่ PC2 MAC และไม่มีที่อยู่ MAC เราไม่สามารถส่งแพ็กเก็ตใดๆ ได้



ทีนี้มาดูทีละขั้นตอน



หมายเหตุ: เปิดคำสั่งในโหมดผู้ดูแลระบบ





ขั้นตอนที่ 1: ตรวจสอบ ARP ที่มีอยู่บน PC1 ดำเนินการ arp –a ในบรรทัดคำสั่งเพื่อดูรายการ ARP ที่มีอยู่

นี่คือภาพหน้าจอ



ขั้นตอนที่ 2: ลบรายการ ARP ดำเนินการ arp –d คำสั่งในบรรทัดคำสั่ง แล้วดำเนินการ arp –a เพื่อให้แน่ใจว่ารายการ ARP ถูกลบไปแล้ว

นี่คือภาพหน้าจอ

ขั้นตอนที่ 3: เปิด Wireshark และเริ่มต้นบน PC1

ขั้นตอนที่ 2: ดำเนินการคำสั่งด้านล่างบน PC1

ปิง192.168.1.1

ขั้นตอนที่ 3: ตอนนี้ ping ควรจะประสบความสำเร็จ

นี่คือภาพหน้าจอ

ขั้นตอนที่ 4: หยุด Wireshark

ตอนนี้เราจะตรวจสอบว่าเกิดอะไรขึ้นในพื้นหลังเมื่อเราลบรายการ arp และ ping ไปยังที่อยู่ IP ใหม่

ที่จริงแล้วเมื่อเรา ping 192.168.1.1 ก่อนที่จะส่งแพ็กเก็ตคำขอ ICMP จะมีการแลกเปลี่ยนแพ็กเก็ตคำขอ ARP และ ARP ดังนั้น PC1 จึงมีที่อยู่ MAC ของ PC2 และสามารถส่งแพ็กเก็ต ICMP ได้

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับ ICMP โปรดดูที่นี่

บทวิเคราะห์เกี่ยวกับ Wireshark:

ประเภทแพ็กเก็ต ARP:

  1. คำขอ ARP
  2. ARP ตอบกลับ

มีคำขอ RARP และ RARP Reply อีกสองประเภท แต่ใช้ในบางกรณี

กลับมาที่การทดลองของเรา

เราทำการ ping ไปที่ 192.168.1.1 ดังนั้นก่อนที่จะส่งคำขอ ICMP PC1 ควรส่งการออกอากาศ คำขอ ARP และ PC2 ควรส่ง unicast ARP ตอบกลับ .

ต่อไปนี้คือช่องสำคัญสำหรับคำขอ ARP

ดังนั้นเราจึงเข้าใจว่าจุดประสงค์หลักของการร้องขอ ARP เพื่อรับที่อยู่ MAC ของ PC2

ทีนี้มาดูการตอบกลับ ARP ใน Wireshark

PC2 ตอบกลับ ARP หลังจากได้รับคำขอ ARP

ต่อไปนี้คือช่องสำคัญของการตอบกลับ ARP

จากการตอบกลับ ARP นี้ เราพบว่า PC1 ได้รับ PC2 MAC และตาราง ARP ที่อัปเดต

ตอนนี้ ping ควรจะสำเร็จเนื่องจาก ARP ได้รับการแก้ไขแล้ว

นี่คือแพ็กเก็ตปิง

แพ็กเก็ต ARP ที่สำคัญอื่นๆ:

อาร์อาร์พี: มันตรงกันข้ามกับ ARP ปกติที่เราได้พูดคุยกัน นั่นหมายความว่าคุณมีที่อยู่ MAC ของ PC2 แต่คุณไม่มีที่อยู่ IP ของ PC2 บางกรณีจำเป็นต้องมี RARP

ARP ฟรี: เมื่อระบบได้รับที่อยู่ IP หลังจากที่ระบบนั้นสามารถส่ง ARP ได้ฟรีเพื่อแจ้งเครือข่ายว่าฉันมี IP นี้ เพื่อหลีกเลี่ยงความขัดแย้งของ IP ในเครือข่ายเดียวกัน

พร็อกซี ARP: จากชื่อเราสามารถเข้าใจได้ว่าเมื่ออุปกรณ์หนึ่งส่งคำขอ ARP และได้รับ ARP ตอบกลับ แต่ไม่ใช่จากอุปกรณ์จริง นั่นหมายความว่ามีคนส่ง ARP ตอบกลับเกี่ยวกับพฤติกรรมของอุปกรณ์ดั้งเดิม มันถูกนำไปใช้ด้วยเหตุผลด้านความปลอดภัย

สรุป:

แพ็กเก็ต ARP จะถูกแลกเปลี่ยนในพื้นหลังทุกครั้งที่เราพยายามเข้าถึงที่อยู่ IP ใหม่