ARP
工作场景中ARP数据包的数量级:
每台IP设备每分钟1-2个ARP数据包纯属合理。比方说,若网络中的设备数为100,则每分钟诞生200-300个或每秒钟诞生3-4个ARP数据包是合理的
即使每秒产生的数据包略多于3-4个(比如5-10个),也未必就有问题,但需要仔细查找原因
代理ARP的应用场合:
在一台路由器之前部署了WAN加速/优化设备:一旦将这种WAN加速/优化设备配置为桥接透明模式运行,此设备就会代替路由器应答ARP请求数据包
在服务器之前部署了以透明模式运行的防火墙、WAF以及其他设备
运行了某种特殊的软件:这种特殊的软件会安装在某台服务器上,但需为之分配一个有别于服务器的IP地址
IP
用源、目的DNS名称取代源、目的IP地址显示:
使用方法:在view菜单中选择name resolution菜单栏下enable for the network layer
wireshark会借用主机配置的DNS服务器,来执行IP地址和域名之间的转换。
把所抓数据包的源、目的IP地址转换为名称来显示,能有助于发现异常流量:
1、访问某特定公司不允许的web站点流量
2、软件自动升级所触发的流量
3、安装在内网主机的浏览器上的工具栏插件所触发的汹涌流量
利用GeoIP来查询IP地址的归属地:
wireshark支持GeoIP数据库来查询所抓数据包中的IP地址的归属地信息(包括:国家、城市、AS等)