---

Hejsa!

Jeg siddder og leger med et script til at konfigurere ip-telefoner
med.

Min plan er at jeg sætter telefonen og computeren på et
tilfældigt netværk, og scanner mac-adresse (Står meget tit i en
stregkode påtelefonen) og vil bruge den som indgangsvinkel til at
konfigurere dem.

Men hvordan får jeg fundet ip-adressen når jeg kun har mac-adressen?

Jeg har i princippet ikke adgang til dhcp-serveren på det net jeg
ertilsluttet. Derfor kan jeg ikke slå op i loggen derfra.

/Henning

---

Henning Wangerin wrote:
>
> Men hvordan får jeg fundet ip-adressen når jeg kun har mac-adressen?
>
> Jeg har i princippet ikke adgang til dhcp-serveren på det net jeg
> ertilsluttet. Derfor kan jeg ikke slå op i loggen derfra.

Hvis du har en IP adresse i samme netsegment som telefonen,
så kan du sende en broadcast ping og så se hvilken IP
adresse der sender et svar med den eftersøgte MAC som
afsender. Måske vil det virke hvis du sender en pakke med
broadcast adressen som destination på IP laget men den
eftersøgte MAC som destination på ethernet laget.

Alternativt kan du lave et arp opslag af hver eneste IP i
intervallet og se hvilken, der matcher.

--
Kasper Dupont
Note to self: Don't try to allocate
256000 pages with GFP_KERNEL on x86.

---

On Tue, 30 Aug 2005 13:36:31 +0200, Kasper Dupont wrote:

> Henning Wangerin wrote:
>>
>> Men hvordan får jeg fundet ip-adressen når jeg kun har mac-adressen?
>>
>> Jeg har i princippet ikke adgang til dhcp-serveren på det net jeg
>> ertilsluttet. Derfor kan jeg ikke slå op i loggen derfra.
>
> Hvis du har en IP adresse i samme netsegment som telefonen, så kan du

Jeg vil gerne sætte min pc til samme segment som telefonerne, scanne
mac-adressen og vælge opsætninger (udbydere og andet)

> sende en broadcast ping og så se hvilken IP adresse der sender et svar
> med den eftersøgte MAC som afsender.

En normal "ping -c 1 -b 10.10.0.255" på mit LAN (/28) giver ikke response
fra hverken telefonerne eller router.

Jeg kan heller ikke se noget med "/sbin/arp" - udover mine linux-maskiner
og de maskiner hvortil/fra der er aktive forbindelser.

> Måske vil det virke hvis du
> sender en pakke med broadcast adressen som destination på IP laget men
> den eftersøgte MAC som destination på ethernet laget.

Hvordan gør jeg det?

> Alternativt kan du lave et arp opslag af hver eneste IP i intervallet og
> se hvilken, der matcher.

Ditto. Udover først at lave et ping-sweep over hele subnettet?
(Surt hvis en knold har sat subnæt til 10.x.y.z/8 )

/Henning

---

Henning Wangerin wrote:
>
> En normal "ping -c 1 -b 10.10.0.255" på mit LAN (/28) giver ikke response
> fra hverken telefonerne eller router.

Er du sikker på, at du har angivet broadcast adressen korrekt?
Der er vist systemer, der ikke besvarer en broadcast ping.
Hvis telefonerne opfører sig sådan, så er du lidt i problemer.

>
> Jeg kan heller ikke se noget med "/sbin/arp" - udover mine linux-maskiner
> og de maskiner hvortil/fra der er aktive forbindelser.

Det er ganske normalt.

>
> > Måske vil det virke hvis du
> > sender en pakke med broadcast adressen som destination på IP laget men
> > den eftersøgte MAC som destination på ethernet laget.
>
> Hvordan gør jeg det?

Spørgsmålet er så om telefonerne vil svare på sådan en
forespørgsel. Hvis ikke de besvarer en broadcast pakke sendt
til broadcast adressen, så besvarer de nok heller ikke en
broadcast pakke sendt til deres egen MAC.

I øvrigt kender jeg ikke nogen programmer, som er direkte
lavet til at sende denne type pakker, men en modificeret
ping kunne sikkert gøre det.

>
> > Alternativt kan du lave et arp opslag af hver eneste IP i intervallet og
> > se hvilken, der matcher.
>
> Ditto. Udover først at lave et ping-sweep over hele subnettet?

Tja, et arp opslag af hver IP adresse eller en ping til
hver IP adresse gør næppe den store fordel. Du kunne evt.
opnå bedre performance ved at sende ping pakkerne uden
først at foretage ARP. Du kender jo den MAC adresse du
ønsker at sende til. Dermed kan du så nøjes med at sende
17 millioner pakker til en MAC adresse i stedet for at
broadcaste 17 millioner pakker til alle på lokalnettet.

Jeg ved ikke, om man får noget ud af at snoope på DHCP
forespørgslerne. Man kunne også overveje at spoofe
telefonens MAC adresse og så selv sende en DHCP
forespørgsel. Men det er altså en afsindig grim
fremgangsmåde.

--
Kasper Dupont
Note to self: Don't try to allocate
256000 pages with GFP_KERNEL on x86.

---

On Tue, 30 Aug 2005 14:35:19 +0200, Kasper Dupont wrote:

> Henning Wangerin wrote:
>>
>> En normal "ping -c 1 -b 10.10.0.255" på mit LAN (/28) giver ikke
>> response fra hverken telefonerne eller router.
>
> Er du sikker på, at du har angivet broadcast adressen korrekt? Der er
> vist systemer, der ikke besvarer en broadcast ping.

Den skulle være korrekt, og er også BCast-adressen iflg ifconfig, så
den burde være i orden.

> Hvis telefonerne
> opfører sig sådan, så er du lidt i problemer.

Det har jeg fundet ud af

>> Jeg kan heller ikke se noget med "/sbin/arp" - udover mine
>> linux-maskiner og de maskiner hvortil/fra der er aktive forbindelser.
>
> Det er ganske normalt.

Hvordan skulle jeg så kunne komme fra "ping -b" til at finde ud af
hvilken adresse der er den rigtige?

Jeg får jo ikke serveret mac-adresse med resultatet fra ping

> Spørgsmålet er så om telefonerne vil svare på sådan en
> forespørgsel. Hvis ikke de besvarer en broadcast pakke sendt til
> broadcast adressen, så besvarer de nok heller ikke en broadcast pakke
> sendt til deres egen MAC.

Det kan selvfølgdelig være et valg der er gjort, men en pakke sendt til
mac-adressen burde vel blive besvaret.

> I øvrigt kender jeg ikke nogen programmer, som er direkte lavet til at
> sende denne type pakker, men en modificeret ping kunne sikkert gøre
> det.

;-/

> Tja, et arp opslag af hver IP adresse eller en ping til hver IP adresse
> gør næppe den store fordel. Du kunne evt. opnå bedre performance ved
> at sende ping pakkerne uden først at foretage ARP. Du kender jo den MAC
> adresse du ønsker at sende til. Dermed kan du så nøjes med at sende
> 17 millioner pakker til en MAC adresse i stedet for at broadcaste 17
> millioner pakker til alle på lokalnettet.

Det var sådan set lige det jeg ville opnå.
Eller endnu bedre, blot spørge MAC 000E08DAFB62 hvad din ip-adresse er,
fordi jeg gerne vil snakke med den

> Jeg ved ikke, om man får noget ud af at snoope på DHCP
> forespørgslerne.

Tror jeg ikke, og det bliver også noget snavs at skulle lave.

> Man kunne også overveje at spoofe telefonens MAC
> adresse og så selv sende en DHCP forespørgsel. Men det er altså en
> afsindig grim fremgangsmåde.

Uf!

---

Den Tue, 30 Aug 2005 16:39:08 +0200 skrev Henning Wangerin:
> On Tue, 30 Aug 2005 14:35:19 +0200, Kasper Dupont wrote:
>
>> Henning Wangerin wrote:
>>>
>>> En normal "ping -c 1 -b 10.10.0.255" på mit LAN (/28) giver ikke
>>> response fra hverken telefonerne eller router.
>>
>> Er du sikker på, at du har angivet broadcast adressen korrekt? Der er
>> vist systemer, der ikke besvarer en broadcast ping.
>
> Den skulle være korrekt, og er også BCast-adressen iflg ifconfig, så
> den burde være i orden.

Det er ellers tit at folk får den forkert. Hedder din netværks-
adresse 10.10.0.240? Ligger dit ip-nummer i intervallet 10.10.0.241-
10.10.0.254?

(Hvis ellers jeg kan regne /28 korrekt ud i hovedet)

>>> Jeg kan heller ikke se noget med "/sbin/arp" - udover mine
>>> linux-maskiner og de maskiner hvortil/fra der er aktive forbindelser.
>>
>> Det er ganske normalt.
>
> Hvordan skulle jeg så kunne komme fra "ping -b" til at finde ud af
> hvilken adresse der er den rigtige?
>
> Jeg får jo ikke serveret mac-adresse med resultatet fra ping

arp-cachen indeholder også maskiner der er ping'et til, og det er
ikke aktive forbindelser det kommer an på, det er maskiner der har
været trafik til/fra indenfor det sidste x minutter.

>> Spørgsmålet er så om telefonerne vil svare på sådan en
>> forespørgsel. Hvis ikke de besvarer en broadcast pakke sendt til
>> broadcast adressen, så besvarer de nok heller ikke en broadcast pakke
>> sendt til deres egen MAC.
>
> Det kan selvfølgdelig være et valg der er gjort, men en pakke sendt til
> mac-adressen burde vel blive besvaret.

Hvis den er sendt til en IP som telefonen ikke svarer på? Næppe.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

On Tue, 30 Aug 2005 15:39:00 +0000, Kent Friis wrote:

>> Den skulle være korrekt, og er også BCast-adressen iflg ifconfig, så
>> den burde være i orden.
>
> Det er ellers tit at folk får den forkert. Hedder din netværks- adresse
> 10.10.0.240? Ligger dit ip-nummer i intervallet 10.10.0.241- 10.10.0.254?
>
> (Hvis ellers jeg kan regne /28 korrekt ud i hovedet)

Jeg skrev forkert

Jeg har normalt 10.10.0.190/24 på men box.

> arp-cachen indeholder også maskiner der er ping'et til, og det er ikke
> aktive forbindelser det kommer an på, det er maskiner der har været
> trafik til/fra indenfor det sidste x minutter.

Enig, men hvis jeg laver en "ping -c 1 -b 10.10.0.255" får jeg svar fra
et par linux-box på mit LAN, og det er kun den ene der er i outputtet fra
"/sbin/arp" Den anden er men nfs-server så har en meget aktiv forbindelse

>> Det kan selvfølgdelig være et valg der er gjort, men en pakke sendt
>> til mac-adressen burde vel blive besvaret.
>
> Hvis den er sendt til en IP som telefonen ikke svarer på? Næppe.

Jeg testede lige. Og du har ret.

Jeg har bare føre set den opførsel på en printer-server. Den kunne
kontaktes ved at tilføje en arp-entry, og derefter telnete til den.

Teoretisk set burde dem egentlig ikke gøre det, men sådan er det jo en
gang i mellem.

:-/

---

Den Tue, 30 Aug 2005 18:22:54 +0200 skrev Henning Wangerin:
> On Tue, 30 Aug 2005 15:39:00 +0000, Kent Friis wrote:
>
>>> Den skulle være korrekt, og er også BCast-adressen iflg ifconfig, så
>>> den burde være i orden.
>>
>> Det er ellers tit at folk får den forkert. Hedder din netværks- adresse
>> 10.10.0.240? Ligger dit ip-nummer i intervallet 10.10.0.241- 10.10.0.254?
>>
>> (Hvis ellers jeg kan regne /28 korrekt ud i hovedet)
>
> Jeg skrev forkert
>
> Jeg har normalt 10.10.0.190/24 på men box.

Det skal man passe på med, når spørgsmålet netop går på hvorvidt den
er korrekt

>> arp-cachen indeholder også maskiner der er ping'et til, og det er ikke
>> aktive forbindelser det kommer an på, det er maskiner der har været
>> trafik til/fra indenfor det sidste x minutter.
>
> Enig, men hvis jeg laver en "ping -c 1 -b 10.10.0.255" får jeg svar fra
> et par linux-box på mit LAN, og det er kun den ene der er i outputtet fra
> "/sbin/arp" Den anden er men nfs-server så har en meget aktiv forbindelse

Prøv at pinge dem direkte. En broadcast ping har netop ikke behov for
at lave arp-opslag, da den sender til broadcast-mac-adressen
(ff:ff:ff:ff:ff:ff).

>>> Det kan selvfølgdelig være et valg der er gjort, men en pakke sendt
>>> til mac-adressen burde vel blive besvaret.
>>
>> Hvis den er sendt til en IP som telefonen ikke svarer på? Næppe.
>
> Jeg testede lige. Og du har ret.
>
> Jeg har bare føre set den opførsel på en printer-server. Den kunne
> kontaktes ved at tilføje en arp-entry, og derefter telnete til den.
>
> Teoretisk set burde dem egentlig ikke gøre det, men sådan er det jo en
> gang i mellem.

Det er ikke helt ifølge standarden, men med mange printservere er det
sådan man konfigurerer dem, i hvert fald indtil de har fået et
ip-nummer - nogen fortsætter med at accepterer arp-metoden, på andre
virker det kun sålænge de ikke har noget ip-nummer.

Det er altså ikke en fejl som sådan, men "by design".

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

On Tue, 30 Aug 2005 16:28:17 +0000, Kent Friis wrote:

>> Jeg skrev forkert
>>
>> Jeg har normalt 10.10.0.190/24 på men box.
>
> Det skal man passe på med, når spørgsmålet netop går på hvorvidt den
> er korrekt

I know. Sorry

> Prøv at pinge dem direkte. En broadcast ping har netop ikke behov for at
> lave arp-opslag, da den sender til broadcast-mac-adressen
> (ff:ff:ff:ff:ff:ff).

Så dukker den op i "/sbin/arp" som forventet.

Men boxen sender jo også et svar på broadcast-pingen. Men MAC'en dukker
ikke op i den situation. Mystiskt.

> Det er ikke helt ifølge standarden, men med mange printservere er det
> sådan man konfigurerer dem, i hvert fald indtil de har fået et
> ip-nummer - nogen fortsætter med at accepterer arp-metoden, på andre
> virker det kun sålænge de ikke har noget ip-nummer.

Ahhh ok.

De enheder jeg "normalt" omgåes (det er ikke så tit )
forsøger sig med dhcp, og den kører alle de steder jeg ellers færdes.
Så er det kun et spørgsmål om at sætte en statisk dhcp-entry.

> Det er altså ikke en fejl som sådan, men "by design".

Enig. - og bare det virker. Det er jo hovedsagen.

Jeg tror jeg lavet en tingest som kigger på "/sbin/arp" og hvis ikke
MAC-en findes forsøges der med en ping-sweep. Det ser ud til at virke med
de telefoner jeg har brug for at sætte op.

Tak for hjælpen til jeg begge.

/Henning

---

Den Tue, 30 Aug 2005 19:05:43 +0200 skrev Henning Wangerin:
> On Tue, 30 Aug 2005 16:28:17 +0000, Kent Friis wrote:
>
>> Prøv at pinge dem direkte. En broadcast ping har netop ikke behov for at
>> lave arp-opslag, da den sender til broadcast-mac-adressen
>> (ff:ff:ff:ff:ff:ff).
>
> Så dukker den op i "/sbin/arp" som forventet.
>
> Men boxen sender jo også et svar på broadcast-pingen. Men MAC'en dukker
> ikke op i den situation. Mystiskt.

Men der har stadig ikke været nogen arp-forespørgsel, det er der kun
når der skal sendes noget til maskinens ip-nummer.

> Jeg tror jeg lavet en tingest som kigger på "/sbin/arp" og hvis ikke
> MAC-en findes forsøges der med en ping-sweep. Det ser ud til at virke med
> de telefoner jeg har brug for at sætte op.

Kan telefonerne ikke selv oplyse deres ip-nummer? De ip-telefoner jeg
har haft med at gøre har da alle haft et display hvor man kunne få
ip-nummeret frem. Men det er måske for langsomt/besværligt? Men ok,
hvis der kun er tale om et /24, så er ping-sweep metoden måske heller
ikke så gal, jeg har kun prøvet på en /16 (jeg vidste at maskinen
skulle hedde noget med 192.168), og det opgav jeg, det tog simpelthen
for lang tid.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

On Tue, 30 Aug 2005 18:09:47 +0000, Kent Friis wrote:

> Men der har stadig ikke været nogen arp-forespørgsel, det er der kun
> når der skal sendes noget til maskinens ip-nummer.

Ahh dvs det er _kun_ udgående trafik der vil generere output i
"/sbin/arp" - det lyder jo egentlig også fornuftigt nok. Men dermed er
der jo heller ingen chance for at et broadcast-ping vil efterlade sig spor
der.

> Kan telefonerne ikke selv oplyse deres ip-nummer? De ip-telefoner jeg
> har haft med at gøre har da alle haft et display hvor man kunne få
> ip-nummeret frem. Men det er måske for langsomt/besværligt? Men ok,

Det kan de som regel godt, men det kan potentielt blive til mange enheder.
Derfor jagter jeg en lidt mere automatiseret metode.

> hvis der kun er tale om et /24, så er ping-sweep metoden måske heller
> ikke så gal,

Jeg har lige strippet et script sammen som pinger et range. en /24 tager
ca 10 sekunder, og en /20 ca 2 minutter, så det er overkommeligt.

> jeg har kun prøvet på en /16 (jeg vidste at maskinen skulle hedde
> noget med 192.168), og det opgav jeg, det tog simpelthen for lang tid.

Tja hvis tendensen holder skulle det blive omkring en halv times tid, men
har ikke prøvet det

/Henning

---

Den Tue, 30 Aug 2005 23:48:20 +0200 skrev Henning Wangerin:
> On Tue, 30 Aug 2005 18:09:47 +0000, Kent Friis wrote:
>
>> Men der har stadig ikke været nogen arp-forespørgsel, det er der kun
>> når der skal sendes noget til maskinens ip-nummer.
>
> Ahh dvs det er _kun_ udgående trafik der vil generere output i
> "/sbin/arp" - det lyder jo egentlig også fornuftigt nok.

Kommer an på hvad du præcist mener med udgående - en indgående
TCP-forbindelse gør også at arp-tabellen bliver udfyldt, for der
skal jo sendes svar tilbage.

Men ja, udgående pakker er det eneste der garanterer at den bliver
udfyldt. Indgående trafik kan måske også gøre det, men det er
implementations-afhængigt, det kommer an på hvor meget man har
valgt at cache.

>> Kan telefonerne ikke selv oplyse deres ip-nummer? De ip-telefoner jeg
>> har haft med at gøre har da alle haft et display hvor man kunne få
>> ip-nummeret frem. Men det er måske for langsomt/besværligt? Men ok,
>
> Det kan de som regel godt, men det kan potentielt blive til mange enheder.
> Derfor jagter jeg en lidt mere automatiseret metode.
>
>> hvis der kun er tale om et /24, så er ping-sweep metoden måske heller
>> ikke så gal,
>
> Jeg har lige strippet et script sammen som pinger et range. en /24 tager
> ca 10 sekunder, og en /20 ca 2 minutter, så det er overkommeligt.
>
>> jeg har kun prøvet på en /16 (jeg vidste at maskinen skulle hedde
>> noget med 192.168), og det opgav jeg, det tog simpelthen for lang tid.
>
> Tja hvis tendensen holder skulle det blive omkring en halv times tid, men
> har ikke prøvet det

Du kører nok 100 mbit, jeg kørte 10 på det tidspunkt. Så det er muligt
du skal have et nul mere bagpå.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Henning Wangerin wrote:
>
> Jeg har lige strippet et script sammen som pinger et range. en /24 tager
> ca 10 sekunder, og en /20 ca 2 minutter, så det er overkommeligt.

Jeg vil mene det burde kunne gøres langt hurtigere.
Måske kan nmap klare opgaven, jeg tror den er
optimeret efter at skulle kunne scanne en range
ret hurtigt. Men sørg for at du ikke scanner alle
de portnumre som nmap tager med som default.

--
Kasper Dupont
Note to self: Don't try to allocate
256000 pages with GFP_KERNEL on x86.

---

Henning Wangerin wrote:
>
> Hvordan skulle jeg så kunne komme fra "ping -b" til at finde ud af
> hvilken adresse der er den rigtige?
>
> Jeg får jo ikke serveret mac-adresse med resultatet fra ping

Nej, ping udskriver godt nok ikke MAC adresserne.
Men den står jo alligevel i pakken, så hvis du
kører en pakke sniffer med passende filtre, så
burde du få svaret.

tcpdump -ni eth0 "ether src 19:c3:1a:70:79:27"

>
> > Spørgsmålet er så om telefonerne vil svare på sådan en
> > forespørgsel. Hvis ikke de besvarer en broadcast pakke sendt til
> > broadcast adressen, så besvarer de nok heller ikke en broadcast pakke
> > sendt til deres egen MAC.
>
> Det kan selvfølgdelig være et valg der er gjort, men en pakke sendt til
> mac-adressen burde vel blive besvaret.

Du har lige konstateret, at den ikke svarer, hvis
destinations MAC er som man kunne forvente. Hvorfor
skulle den så pludseligt svare, hvis du skriver en
destinations MAC som den ikke forventer.

>
> Det var sådan set lige det jeg ville opnå.
> Eller endnu bedre, blot spørge MAC 000E08DAFB62 hvad din ip-adresse er,
> fordi jeg gerne vil snakke med den

Det er en ting som IP protokolen normalt ikke har
brug for.

>
> > Jeg ved ikke, om man får noget ud af at snoope på DHCP
> > forespørgslerne.
>
> Tror jeg ikke, og det bliver også noget snavs at skulle lave.

Så slemt kan det heller ikke være at køre en
tcpdump kommando og smide outputet i en fil.

--
Kasper Dupont
Note to self: Don't try to allocate
256000 pages with GFP_KERNEL on x86.

---

On Wed, 31 Aug 2005 08:13:07 +0200, Kasper Dupont wrote:

> Henning Wangerin wrote:
>>
>> Hvordan skulle jeg så kunne komme fra "ping -b" til at finde ud af
>> hvilken adresse der er den rigtige?
>>
>> Jeg får jo ikke serveret mac-adresse med resultatet fra ping
>
> Nej, ping udskriver godt nok ikke MAC adresserne. Men den står jo
> alligevel i pakken, så hvis du kører en pakke sniffer med passende
> filtre, så burde du få svaret.
>
> tcpdump -ni eth0 "ether src 19:c3:1a:70:79:27"

Bingo!

Så blev det pludselig meget hurtigere!

arp er fandens langsom når der er meget i cachen.

> Du har lige konstateret, at den ikke svarer, hvis destinations MAC er som
> man kunne forvente. Hvorfor skulle den så pludseligt svare, hvis du
> skriver en destinations MAC som den ikke forventer.

Jeg håbede på at broadcasten virkede, men så må man jo bruge andre
metoder.

> Det er en ting som IP protokolen normalt ikke har brug for.

Nej lige netop. Det er sgu heller ikke sådan når man er besværlig :D

> Så slemt kan det heller ikke være at køre en tcpdump kommando og
> smide outputet i en fil.

Det bliver nok det der er løsningen på mit projekt.

Tak for hjælpen

/Henning

---

Henning Wangerin <news_via_pan+041124@hpc.dk> wrote:

> arp er fandens langsom når der er meget i cachen.

Overvejet at bruge -n så den ikke forsøger at resolve hostnames på ting
i arp-tabellen?

--
-René