O que é um cache flush e como você explica esse padrão TCPdump?

Question

Corri o TCPdump algumas vezes na minha rede doméstica e encontrei muitos pacotes que estavam marcados (Cache Flush), aparentemente originados no laptop da minha irmã. Não consigo ver nenhum pacote HTTP ou HTTPS durante os períodos em que eu estava executando o TCPdump, o que é estranho, porque tenho certeza de que as pessoas estavam navegando na Web no momento e também vi apenas os fluxos de cache originados dela computador, não de qualquer outra pessoa. O que esses liberações de cache significam? Eles são remanescentes de uma sessão HTTP ou HTTPS? E por que não estou vendo nenhum pacote HTTP / HTTPS no TCPdump, apesar do fato de outras pessoas na casa estarem online? É simplesmente uma questão de eu não executar o TCPdump enquanto alguém estava carregando uma página da web? Ou é outra coisa? Parece que ainda há muito que não entendo sobre redes.

    

Answer 1

Sua pergunta está incompleta - muitas marcações do tcpdump são específicas do protocolo, portanto, apenas dizer "pacotes marcados (Cache Flush)" não significa nada; você precisa postar as informações completas do pacote.

Em particular, "(Cache Flush)" é um parâmetro dos pacotes mDNS , que são usados para a descoberta de serviços na LAN. Computadores que executam o mDNS (normalmente o OS X, mas também alguns sistemas Linux, ou o Windows com o iTunes) enviam periodicamente pacotes dizendo "meu nome é ZenComputer.local "(assim como informações adicionais sobre os serviços oferecidos), e o bit" cache flush "basicamente significa" esqueça todas as informações antigas sobre esse nome e armazene em cache as novas informações ".

(A essa altura, talvez seja melhor usar tshark ou Wireshark - eles geralmente geram uma saída mais consistente e menos confusa.)

Você não está vendo pacotes HTTP / HTTPS porque você não tem nenhuma conexão HTTP ou HTTPS ativa. Em outras palavras, você só vê transmissões e seu próprio tráfego.

Se você usar o Wi-Fi, o adaptador Wi-Fi do computador descartará automaticamente todos os pacotes com o endereço "errado" (em parte para não desperdiçar energia, incomodando o sistema operacional com relação ao lixo). Pode ser possível vê-los usando os modos 'promisc' ou 'monitor' (veja Capture / WLAN no site do Wireshark) , mas muitas vezes isso é suportado apenas no Linux.

Se você tiver uma conexão com fio, você não receberá estes pacotes . Praticamente todas as redes Ethernet atualmente são trocadas - cada porta Ethernet lembra os endereços MAC de computadores conectados a ele e envia apenas pacotes para a porta correta. (Embora há 15 anos os hubs Ethernet enviassem tudo para qualquer lugar e você pudesse ver os dados ativando o modo promíscuo , isso não é mais verdade .)