在对交换机的镜像端口进行采样时,有没有办法确定数据包的交换机端口信息?
由于以太网数据包不包含此信息,我假设答案是否定的,正如我的实验所支持的那样。
- 即使对于特定的交换机品牌,这是否有可能以任何方式实现,可能是通过一些仍然在镜像端口上发出“pcapable”数据包流的扩展?
我问的原因是为了检测微妙的源欺骗,最多两个襟翼。
在对交换机的镜像端口进行采样时,有没有办法确定数据包的交换机端口信息?
由于以太网数据包不包含此信息,我假设答案是否定的,正如我的实验所支持的那样。
我问的原因是为了检测微妙的源欺骗,最多两个襟翼。
不。
以太网交换机是透明设备,因此它们不会改变以太网帧(除了为中继添加和删除 802.1Q 标签)。以太网帧头中没有任何内容支持您的要求,交换机也没有添加任何内容,使源主机看起来像是在专用链路上直接与目标主机通信。
您能做的最好的事情是在您的捕获设备上安装一些应用程序或工具,尝试将帧上的源 MAC 地址与交换机 MAC 地址表中的内容进行匹配,但这是您需要自己提出的.
您可以首先使用各种方法来防止欺骗。例如,带有动态 ARP 检查和 IP 源保护的 DHCP 侦听。您也可以使用 802.1X。
在对交换机的镜像端口进行采样时,有没有办法确定报文的交换机端口信息?
不直接。镜像过程会将看到的帧复制到镜像输出端口。原始帧中的任何内容都不会指示它所在的端口。(除非您知道交换机的内部 mac 地址表。)
一些商业产品使用 Voodoo(tm) 的方式是通过 VLAN 标记。如果源端口在不同的 VLAN 中,并且交换机标签镜像输出帧,您可以根据标签判断来源。当然,这很难在普通的流量传递交换机上复制。(它自己的 VLAN 中的每个端口都是一个不寻常的配置)