podivne packety

[Ivo Hazmuk]

Zbyněk Burget wrote:
> Zdravim vespolek,
> 
> asi je to OT dotaz, pac to pravdepodobne nema primo souvislost s 
> FreeBSD, ale zatim jsem nikde nenasel vysvetleni.
> 
> V posledni dobe se mi po siti zacinaji pohybovat takoveto packety (vytah 
> z tcpdumpu):
> 
> 11:27:48.796352 00:11:95:28:f8:a8 > ff:ff:ff:ff:ff:ff, ethertype Unknown 
> (0xaaaa), length 60:
>        0x0000:  f000 023e 6222 4000 8006 c620 ac10 0401  ...>b"@.........
>        0x0010:  d450 4c15 0c43 0050 89df c224 4704 3f2f  .PL..C.P...$G.?/
>        0x0020:  5018 ffff a6af 0000 4745 5420 2f72       P.......GET./r
> 
> chodi z ruznych stroju, z ruznych vetvi site, vsechny maji spolecne 
> "ethertype Unknown (0xaaaa), length 60"

Ve zkratce. Pakety 802.3 maji v polozce Type/Length delku paketu. 
Maximum je 0x0600.
Treba CDP vypada nasledovne:
12:07:02.947849 0:11:a:a6:3b:f6 1:0:c:cc:cc:cc 007e 140: CDP v1, 
ttl=180s DevID 'hp-sklad(00110a-a63bc0)' Addr (1): IPv4 127.0.0.1 PortID 
'10' CAP 0x08[|cdp]
0x0000   aaaa 0300 000c 2000 01b4 782b 0001 001b        ..........x+....
0x0010   6870 2d73 6b6c 6164 2830 3031 3130 612d        hp-sklad(00110a-
0x0020   6136 3362 6330 2900 0200 1100 0000 0101        a63bc0).........
0x0030   01cc 0004 7f00 0001 0003 0006 3130 0004        ............10..
0x0040   0008 0000 0008 0005 002d 5265 7669 7369        .........-Revisi
0x0050   6f6e

Je-li tam cislo vyssi, znamena tato polozka typ eth. ramce. ARP ma 
Ethertype 0x0806, IPv4 0x0800, IPv6 0x86dd.

To co vam prislo je paket neznameho ethernetoveho typu (0xaaaa).

> Setkal se s timhle uz nekdy nekdo? Nevite, co by to mohlo znamenat?

podivejte se na http://standards.ieee.org/regauth/ethertype/eth.txt. Tam 
je seznam vsech registrovanych typu ethernetu. Ale 0xaaaa tam neni ;-(

Asi bych se pokusil najit zarizeni s MAC adresou 00:11:95:28:f8:a8, je 
zdrojem techto paketu. A dal se uvidi.

Switche s managementem to rady a jednoduse zobrazi.

	S pozdravem
		Ivo Hazmuk