Como capturar a tabela arp ao usar a ponte de rede?

Question

Eu tenho um computador com 2 NICS que estão em ponte e eu preciso de um meio de distinguir entre máquinas conectadas a eth0 de máquinas conectadas a eth1.

Eu esperava usar algo como o comando "arp -a". No entanto, quando o NICS está em ponte, a tabela arp está sempre vazia. Eu acredito que isso está correto desde a seção 2.1.1. Visão geral do Protocolo de resolução de endereços [ link , menciona que " Desde hardware de rede, como comutadores , hubs e pontes operam em quadros Ethernet, eles não estão cientes dos dados da camada superior transportados por esses quadros ".

Alguém tem conhecimento de outras ferramentas que eu poderia usar que manterão uma tabela arp em um NIC específico mesmo quando a NIC tiver sido superada?

    

Answer 1

Você não receberá o endereço IP dessa maneira, mas poderá ver quais MACs a bridge aprendeu:

# brctl showmacs br0
port no mac addr                is local?       ageing timer
  1     00:16:3e:aa:bb:cc       no                 3.02
  1     00:16:3e:ab:bb:cc       no                30.37
  1     00:16:3e:ac:bb:cc       no                90.66
  2     fe:ff:ff:ff:ff:ff       yes                0.00

Observe a coluna port , isso indica em qual interface ( port ) o pacote entrou na ponte. Se não estiver claro qual é qual, execute brctl show .

Se você precisar do endereço IP também, precisará atribuir um endereço de rede à bridge e iniciar uma verificação de ping:

ip addr add X.X.X.X/yy dev br0
nmap -T5 -sP X.X.X.Z/yy
arp -a
ip addr del X.X.X.X/yy dev br0

    

Answer 2

Embora as respostas acima estejam corretas e funcionem, eu queria algo um pouco mais silencioso do que ter que fazer varreduras de ping.

Ainda estou um pouco confuso sobre por que o comando arp padrão não funciona. Tenho certeza de que provavelmente há alguma configuração que perdi.

Minha solução atual, no entanto, é usar o arpwatch [ link em conjunto com o "brctl showmacs".

O Arpwatch gera diferentes arquivos de saída mapeando endereços IP para o endereço MAC. "brctl showmacs" fornece o endereço mac ao mapeamento de porta física. Com essas duas ferramentas eu tenho tudo que preciso.

[Editar] Além disso, o arpalert tem uma funcionalidade muito semelhante e é um pouco mais simples de trabalhar.

Obrigado a todos que comentaram.