¿Conoces a tus vecinos de red?

Como administrador de un sistema VOS, normalmente no te importa en absoluto qué otros hosts hay en la subred local. Te interesan las puertas de enlace que están configuradas y, por supuesto, cualquier host local que se comunique con tu sistema, pero los demás hosts pasan desapercibidos para ti. Sin embargo, hay dos razones muy buenas para saber quiénes son tus vecinos de red. En primer lugar, en caso de un problema de comunicación, puedes utilizar estos otros hosts para comprobar tu conexión de red. En segundo lugar, estos son los hosts que tienen más probabilidades de ser el origen de cualquier tipo de ataque basado en la red.

No es mala idea escanear la subred local de vez en cuando (por ejemplo, todos los miércoles por la mañana) solo para ver quién hay conectado. VOS no tiene un escáner integrado, pero sí cuenta con el comando ping, que, rodeado de unas pocas líneas de una macro de comando, puede convertirse en un escáner.

El uso de ping para escanear hosts presenta tres inconvenientes. En primer lugar, no es muy eficiente. El tiempo de espera predeterminado es de 15 segundos y el comando realiza cuatro intentos, por lo que tardará un minuto en escanear un host que no existe o que no responde a los pings. Por suerte, el número de intentos se puede reducir a 1 y el tiempo de espera a 1 segundo. Esto sigue sin ser eficiente desde el punto de vista de una herramienta de escaneo especializada, pero creo que es suficiente para nuestras necesidades.

El segundo problema es que no todos los hosts responden a los pings. Sin embargo, eso no supone un problema grave, ya que con solo una línea más, nuestra macro de comando indicará qué hosts han enviado una respuesta ARP. Los ARP se utilizan para asignar una dirección IP a una dirección MAC de Ethernet, y VOS debe conocer la dirección MAC de Ethernet antes de poder enviar el ping. Por lo tanto, envía una solicitud ARP al host de destino y coloca los datos de la respuesta en la caché ARP. Todos los hosts responderán a la solicitud ARP con una respuesta ARP, incluso si no responden a la solicitud de ping posterior. El comando arp mostrará la entrada solicitada si existe.

La macro de comando anterior mezcla las solicitudes y respuestas de ping con datos ARP, por lo que no resulta muy legible. La siguiente macro genera una tabla clara de hosts vecinos en un archivo llamado arp_scan.(fecha).out. Se basa en una red de clase C, es decir, los tres primeros octetos son fijos, y busca los hosts del 1 al 254. Te recomiendo que la ejecutes como un proceso en segundo plano.

El tiempo de espera de la caché ARP es de 10 minutos. Si hay una entrada con una antigüedad inferior a 10 minutos, sabrás que el módulo ya se estaba comunicando con ese host antes de que se realizara el escaneo.

La tercera cuestión es la posible queja que podría recibir del administrador de la red por escanear activamente la red. Si se opone a esta actividad, puede realizar un escaneo pasivo utilizando el comando «packet monitor» para capturar paquetes de difusión.

El uso de esta técnica depende de que los demás hosts de la red se comuniquen activamente y envíen difusiones mientras packet_monitor está en ejecución. Si utilizas esta técnica, tendrás que dejar que packet_monitor se ejecute durante bastante tiempo; la duración dependerá de tu red. Te sugiero que incluyas el comando anterior en una macro de comando (packet_monitor_scan.cm) y lo ejecutes como un proceso iniciado. No olvides ejecutar el proceso con privilegios.

Una vez que tengas un seguimiento, tendrás que convertirlo en una tabla de direcciones utilizable. La siguiente macro lo hará (se da por hecho que «packet_monitor_scan» era un proceso iniciado que generó un archivo «process_packet_monitor_scan.out»).

lo que dará como resultado la siguiente tabla.