[GNS3]각각 통로를 Wireshark로 패킷을 분석해보자.(ICMP/ARP)

http://hsm-racoon.tistory.com/27?category=988566

설정은 전에 쓰던 설정을 사용합니다.
GNS3에 WireShark 기능이 내장되어 있어서 생각보다 쉽습니다.

3계층에 주된 것은 IP인데 ICMP와 ARP는 IP를 보조하는 역할을 합니다.
1.221.80.2 (kali)에서 1.221.80.14(win7)에 ping을 보내봅니다.

핑을 보낸뒤에 GNS3 로 가보면

연결되어있는 선에 오른쪽 클릭을하면 'Start capture' 라는걸 클릭을하면 클릭한 순간부터 패킷 캡쳐를 시작합니다.

그럼 다음과 같이 통로에 돋보기 모양이 활성화 되며 다시 오른쪽 클릭하여 
'Start Wireshark' 를 클릭합니다.
다음과 같은 화면에서 위에 필터를 확인해 봅시다.

PING을 보냈고 1.221.80.2에서 1.221.80.14 가 서로 통신한 것을 확인 할 수 있습니다.
ping을 보낼때는 ICMP 프로토콜을 사용합니다.
ICMP 프로토콜은 IP에 상태와 오류에 대한 통신을 하는 프로토콜입니다.

위에 ARP 프로토콜도 보이는데 자세히 알아봅시다.

3계층 'Address Resolution Protocol (request) 가 보이는데 더블클릭을 해줍니다.
Opcode는 request(1) 로 나와있습니다. 요청을 하는것을 알수있습니다. 
Sender는 보내는사람 Target은 받는사람입니다.
<원래는 Target의 Mac주소가 00:00:00:00:00:00 으로 표시되어야 합니다.>

바로 아래 arp패킷 캡쳐를 확인해봅니다.

Sender와 Target 바뀐것을 확인할 수 있습니다.
이와같이 ARP 프로토콜은 IP주소를 알지만 MAC주소를 모를때 통신하는 용도로 확인합니다.
매번 통신을 할때마다 ARP를 보내면서 통신을 하면 속도 저하의 원인이 되므로 
ARP Cache Table을 이용하여 ip주소와 mac주소를 저장합니다.

1.ping x.x.x.x 
2.ARP Cache Table(한번 알아온 것은 여기에 기록한다.)
3-1. ARP Table에 있는가? yes-> 중지
3-2. ARP Table에 있는가?  no ->4
4.ARP Request
5.ARP Reply
6.ARP Cache Table 기록

다음은 이 ARP프로토콜의 약점을 이용한 
ARP Cache Poisoning ( ARP Spoofing) 공격을 해보겠습니다.