¿Conoces a tus vecinos de la red?

Como administrador del sistema para un sistema VOS, normalmente no te podría importar menos lo que otros anfitriones son en la subred local. Te preocupas por las puertas de enlace que están configuradas y por supuesto por cualquier host local que se comunique con tu sistema, pero los otros hosts están por debajo de tu radar. Hay, sin embargo, 2 muy buenas razones para saber quiénes son sus vecinos de red. Primero, en el caso de un problema de comunicación puedes usar estos otros hosts para probar tu conexión de red. En segundo lugar, estos son los anfitriones que son más probables de ser las fuentes de cualquier tipo de ataque basado en la red.

No es una mala idea escanear la subred local de vez en cuando (digamos cada miércoles por la mañana) sólo para ver quién está ahí fuera. VOS no tiene un escáner incorporado - pero tiene el comando ping, que cuando se rodea de unas pocas líneas de un comando macro puede convertirse en un escáner.

Hay tres problemas con el uso de ping para buscar huéspedes. Primero, no es muy eficiente. El tiempo de espera por defecto es de 15 segundos y el comando lo intentará 4 veces, por lo que tardará un minuto en escanear un host que no esté allí o no responda a los pings. Por suerte, el número de intentos puede reducirse a 1 y el tiempo de espera a 1 segundo. Esto todavía no es eficiente desde la perspectiva de una herramienta de escaneo dedicada, pero creo que es lo suficientemente bueno para nuestras necesidades.

La segunda cuestión es que no todos los huéspedes responderán a los pings. Eso, sin embargo, no es un problema significativo porque con sólo una línea más nuestro comando macro informará qué hosts enviaron una respuesta ARP. Los ARP se utilizan para mapear una dirección IP en una dirección MAC de Ethernet y VOS debe conocer la dirección MAC de Ethernet antes de poder enviar el ping. Por lo tanto, envía una solicitud ARP al host objetivo y coloca los datos de la respuesta en la caché ARP. Todos los hosts responderán a la solicitud ARP con una respuesta ARP aunque no respondan a la solicitud de ping posterior. El comando arp mostrará la entrada solicitada si hay alguna.

La macro de comando anterior tiene las solicitudes y respuestas de ping entremezcladas con los datos del ARP, no es muy legible. El siguiente macro produce una bonita tabla de vecinos en un archivo llamado arp_scan.(date).out. Asume una red de clase C, es decir, los primeros 3 octetos son fijos y escanean los hosts del 1 al 254. Te sugiero que lo ejecutes como un proceso iniciado.

El tiempo de espera de la caché ARP es de 10 minutos, si hay una entrada con un tiempo inferior a 10 minutos sabrás que el módulo ya se estaba comunicando con ese host antes de que se hiciera el escaneo.

La tercera cuestión es la queja que podría recibir del administrador de la red por escanear activamente la red. Si se oponen a esta actividad, puede escanearla pasivamente utilizando el comando de monitorización de paquetes para capturar paquetes de emisión.

El uso de esta técnica depende de que los otros anfitriones de la red se comuniquen activamente y envíen transmisiones mientras packet_monitor está funcionando. Si usa esta técnica tendrá que dejar que packet_monitor se ejecute durante bastante tiempo, el tiempo dependerá de su red. Le sugiero que ponga el comando anterior en una macro de comando (packet_monitor_scan.cm) y lo ejecute como un proceso iniciado. No olvide ejecutar el proceso como privilegiado.

Una vez que tenga un rastro, tendrá que convertirlo en una tabla de direcciones utilizable. La siguiente macro hará eso (asume que packet_monitor_scan fue un proceso iniciado generando un archivo process_packet_monitor_scan.out).

que producirá la siguiente tabla.