Pacotes DHCP transmitidos em todas as portas de um switch?

Question

Eu gostaria de monitorar os pacotes DHCP em um clientPC conectado a um switch / roteador de 4 portas.

Conseguirei ver os pacotes DHCP enviados ou recebidos nos clientes? conectado a outras portas neste switch também?

    

Answer 1

Descobertas e solicitações de DHCP (do cliente ao servidor): Sim. Estes são transmitidos e, portanto, todos no mesmo segmento de rede os receberão.

Ofertas DHCP e Acks (do servidor para o cliente): Normalmente não. Em uma rede comutada, esses pacotes são encaminhados apenas ao cliente solicitando-os para começar, usando a tabela ARP do comutador para determinar a porta física. Além disso, lembro-me de usar o Ettercap para esse exato propósito, talvez de 10 a 15 anos atrás.

- No entanto -

Você pode farejar por isso. O conceito é assim:

1. Invente o endereço MAC do seu alvo

2. Receber e ler pacotes

3. Reinsira (encaminha) o pacote, uma vez feito com ele, para que ele possa alcançar seu destino correto

Muitos conjuntos de software combinam as três etapas acima em vários formatos e formas, mas um muito comum é o Wireshark que está disponível para várias plataformas. Isso também permite que você veja as solicitações DHCP normalmente ignoradas pelo seu sistema operacional. O tcpdump também é uma ferramenta muito comum, mas, até onde eu sei, está disponível apenas para sistemas Linux e Unix, além de não fazer spoofing sniffing.

Basicamente, o que você procura é algo que permite "Unified sniffing via envenenamento por ARP" além da capacidade de captura de pacotes.

    

Answer 2

Você poderá ver as mensagens broadcast do servidor e dos clientes, mas algumas informações serão transmitidas por unicast em vez de transmitidas, e isso depende do estado do cliente e como ele escolhe seguir a especificação RFC 2131. Você pode ser capaz de ver parte do tráfego unicast de outras portas no seu switch, mas não espere. Renovações normalmente usam unicast.

link

When the DHCP client knows the address of a DHCP server, in either INIT or REBOOTING state, the client may use that address in the DHCPDISCOVER or DHCPREQUEST rather than the IP broadcast address.

Esta tabela resume alguns dos estados de broadcast / unicast. link

Os pacotes de descoberta são sempre transmitidos. A solicitação é sempre transmitida se o cliente não tiver um endereço, , mas pode ser unicast na renovação. Ofertas e pacotes de confirmação podem estar dependendo da implementação. Eu recomendaria ler o RFC para se familiarizar com quando a transmissão é usada. É mais provável que você veja o tráfego na aquisição do endereço inicial do que nas renovações.