Newsgroup: it.comp.sicurezza.varie
Titolo: 169.254.100.100 no APIPA

Facendo girare snort -vd su un pc della intranet (switchata collegata ad 
HDSL Telecom) mi aspettavo di trovare soltanto pacchetti in unicast 
diretti alla mia macchina più il classici broadcast del protocollo ARP, 
invece trovo ogni tanto delle righe del tipo:
03/21-14:48:16.572400 ARP who-has 169.254.3.140 tell 169.254.3.140
03/21-14:48:17.408876 ARP who-has 169.254.100.100 tell 169.254.100.100
Nella mia ignoranza la rete 
169.254.0.0/16
 è utilizzata da APIPA (che io 
non utilizzo e non uso neanche DHCP ma un indirizzamento statico).
Provando un PING a 169.254.100.100 ottengo una risposta da 217.222.1.195
che whois mi da come appartenente a TELECOM ITALIA.
Qualcuno ha la pazienza di spiegarmi perche'??
Stefano

 che whois mi da come appartenente a TELECOM ITALIA.
Se non ricordo male, a partire da WinXP una scheda di rete deve avere sempre
un indirizzo IP. Siccome Microsoft si e' accorta che 0.0.0.0 non e' un
indirizzo valido, allora ha deciso di assegnare, se il DHCP va male, un
indirizzo di classe 169.254.x.x.
Ciao
 max

 non utilizzo e non uso neanche DHCP ma un indirizzamento statico).
Esatto....inoltre i pacchetti su se vedi son pacchetti arp inviati da una
macchina con ip x chiedendo se qualcuno ha l'ip x. In particolare quindi
sembrerebbero dei pc o un pc che non trovando un server dhcp si sta
autoassegnando tramite apipa un ip e prima di assegnarselo controlla che
nessun altro lo abbia gia'....

 Qualcuno ha la pazienza di spiegarmi perche'??
1) perche' non fai egress filtering, e il tuo router pensa che
   quegli indirizzi vadano instradati verso il resto del mondo
   (che invece non e' molto interessato a quella spazzatura);
2) che cosa ti ha risposto quell'ip? Mi sa tanto di router che
   ti ha inviato un unreachable (lui si)... aspetta uun attimo
   ... clickete clickete ... traceroute... clickete... ping...
   si, si tratta di un router cisco: probabilmente era proprio
   un icmp unreachable, o no?.
Fabio

    un icmp unreachable, o no?.
E' un router cisco, e mi da TTL scaduto
Grazie
Stefano ... che vi lurka spesso :))

 indirizzo di classe 169.254.x.x.
Penso che sia proprio cosi', ma nel mio caso il DHCP non lo uso proprio 
(vecchie abitudini).
Stefano

 nessun altro lo abbia gia'....
Io il DHCP non lo uso proprio, ma ogni scheda ha il suo indirizzo statico.
Stefano

 E' un router cisco, e mi da TTL scaduto
ROTFL!... anche loro non scherzano con la configurazione delle
loro macchine: vuol dire che il tuo echo se lo sono rimpallato
tra loro (lui e qualche suo amichetto), finche' non e' scaduto
il TTL (cioe' circa un centinaio di volte). 
Fabio

 inviarti un icmp unreachable.
Infatti e' proprio quello che mi aspettavo: non capivo perche' il ping 
invece di fermarsi sul mio router finisse su 217.222.1.195 con TTL 
scaduto :)
Grazie mille Fabio.
Stefano

 inviarti un icmp unreachable.
Ma perche' questi indirizzi non hanno senso su internet?? A me sembrano
indirizzi normalissimi. Secondo me non ha senso che Microsoft li usi come
indirizzi di default se il DHCP non va a buon fine!! Ne sai qualcosa di
piu'? Qualcuno ha inventato altre classi di indirizzi riservati??
Ciao
 Max

 piu'? Qualcuno ha inventato altre classi di indirizzi riservati??
RFC 3330:
<< 
169.254.0.0/16
 - This is the "link local" block.  It is allocated for
   communication between hosts on a single link.  Hosts obtain these
   addresses by auto-configuration, such as when a DHCP server may not
   be found. >>
Fabio

    be found. >>
Grazie. Non si finisce mai di imparare!! E io che ho sommerso Microsoft di
insulti!! :-D
Ciao
 Max