Wireshark网络分析实战笔记（七）ARP和IP

ARP

 

工作场景中ARP数据包的数量级：

每台IP设备每分钟1-2个ARP数据包纯属合理。比方说，若网络中的设备数为100，则每分钟诞生200-300个或每秒钟诞生3-4个ARP数据包是合理的

即使每秒产生的数据包略多于3-4个（比如5-10个），也未必就有问题，但需要仔细查找原因

 

代理ARP的应用场合：

在一台路由器之前部署了WAN加速/优化设备:一旦将这种WAN加速/优化设备配置为桥接透明模式运行，此设备就会代替路由器应答ARP请求数据包

在服务器之前部署了以透明模式运行的防火墙、WAF以及其他设备

运行了某种特殊的软件：这种特殊的软件会安装在某台服务器上，但需为之分配一个有别于服务器的IP地址

 

 

IP

用源、目的DNS名称取代源、目的IP地址显示：

使用方法：在view菜单中选择name resolution菜单栏下enable for the network layer

wireshark会借用主机配置的DNS服务器，来执行IP地址和域名之间的转换。

把所抓数据包的源、目的IP地址转换为名称来显示，能有助于发现异常流量：

1、访问某特定公司不允许的web站点流量

2、软件自动升级所触发的流量

3、安装在内网主机的浏览器上的工具栏插件所触发的汹涌流量

 

利用GeoIP来查询IP地址的归属地：

wireshark支持GeoIP数据库来查询所抓数据包中的IP地址的归属地信息（包括：国家、城市、AS等）