Tenemos varios conmutadores 3com estándar no administrados en una red. Pensé que se suponía que los conmutadores solo enviaban paquetes entre pares de una conexión.
Sin embargo, parece que el software de rastreo de red que se ejecuta en una computadora conectada a uno de los conmutadores puede detectar el tráfico (es decir, la transmisión de videos de YouTube, páginas web) de otras computadoras host conectadas a otros conmutadores en la red.
¿Es esto posible o la red está completamente rota?
networking
switch
packet-sniffer
Can Kavaklıoğlu
fuente
fuente
Respuestas:
Para completar la respuesta de David, un conmutador aprende quién está detrás de un puerto mirando las direcciones MAC de los paquetes recibidos en ese puerto. Cuando el interruptor está encendido, no sabe nada. Una vez que el dispositivo A envía un paquete desde el puerto 1 al dispositivo B, el conmutador descubre que el dispositivo A está detrás del puerto 1 y envía el paquete a todos los puertos. Una vez que el dispositivo B responde a A desde el puerto 2, el conmutador solo envía el paquete en el puerto 1.
Esta relación MAC a puerto se almacena en una tabla en el conmutador. Por supuesto, muchos dispositivos pueden estar detrás de un solo puerto (por ejemplo, si un conmutador está conectado al puerto), por lo que puede haber muchas direcciones MAC asociadas a un solo puerto.
Este algoritmo se rompe cuando la tabla no es lo suficientemente grande como para almacenar todas las relaciones (no hay suficiente memoria en el conmutador). En este caso, el conmutador pierde información y comienza a enviar paquetes a todos los puertos. Esto se puede hacer fácilmente (ahora sabe cómo hackear su red) forjando muchos paquetes con diferentes MAC desde un solo puerto. También se puede hacer falsificando un paquete con el MAC del dispositivo que desea espiar, y el conmutador comenzará a enviarle el tráfico para ese dispositivo.
Los conmutadores administrados se pueden configurar para aceptar un solo MAC de un puerto (o un número fijo). Si se encuentran más MAC en ese puerto, el conmutador puede apagar el puerto para proteger la red o enviar un mensaje de registro al administrador.
EDITAR:
Sobre el tráfico de youtube, el algoritmo descrito anteriormente solo funciona en el tráfico de unidifusión. La difusión de Ethernet (ARP como ejemplo) y la multidifusión de IP (utilizada a veces para la transmisión) se manejan de manera diferente. No sé si YouTube usa la multidifusión, pero podría ser un caso en el que pueda detectar el tráfico que no le pertenece.
Sobre el tráfico de la página web, esto es extraño, ya que el protocolo de enlace TCP debería haber configurado la tabla MAC a puerto correctamente. O la topología de la red conecta en cascada muchos conmutadores muy baratos con pequeñas tablas que siempre están llenas, o alguien está jugando con la red.
fuente
Este es un malentendido común. A menos que esté configurado estáticamente, un conmutador debe enviar cada paquete a través de cada puerto en el que no pueda probar que no necesita enviar ese paquete.
Esto podría significar que un paquete solo se envía al puerto que contiene el dispositivo de destino. Pero esto no siempre puede ser el caso. Por ejemplo, considere el primer paquete que recibe el switch. ¿Cómo podría saber en qué puerto enviarlo?
Suprimir que los paquetes se envíen al puerto 'incorrecto' es una optimización que un conmutador usa cuando puede. No es una característica de seguridad. Los conmutadores administrados a menudo brindan seguridad de puerto real.
fuente
Es posible que el envenenamiento de caché ARP esté vigente. Esta es una técnica utilizada, a menudo maliciosamente, para detectar una red conmutada. Esto se logra al convencer a cada máquina de la red de que cada máquina tiene su dirección MAC (usando el protocolo ARP). Esto hará que el interruptor reenvíe todos los paquetes a su máquina; deseará reenviarlos después del análisis. Esto se usa comúnmente en ataques de hombre en el medio, y está disponible en varias herramientas de rastreo como Cain & Abel o ettercap.
fuente