大家帮我看看，我的内网机子是不是都成肉鸡了（UDP7800）

allmoxie

1、  问题描述
　　 我局域网的几乎所有机子都在不停的向224.16.16.17这个组播IP发送UDP7800数据包。（不知道有没有过路由转发出去，跟反弹端口有没有关系）

2、  网络拓扑结构
　　 因特网—路由器—总交换机—分总交换机---工作站。

3、  网络关键设备/节点/服务器信息
　　 网关　192.168.1.1—00.50.bf.2a.22.4f
       游戏更新   192.168.1.4---00.13.20.81.c0.5b
       pubwin后台   192.168.1.251---00.70.e9.cf.00.65
       电影机    192.168.1.3---00.30.18.aa.dc.31
       　
4、  使用的分析软件，及分析软件的安装位置，并将捕获的数据包上传到论坛。
       科来安装路径：F:\Program Files\Colasoft Capsa 6.2 CCE

5、  工程文件

[ 本帖最后由 allmoxie 于 2006-10-5 14:27 编辑 ]

artico

224.16.16.17流量的确有点异常，该IP是个组播地址，但是如果有类似流媒体服务，这样的数据还是正常的。你根据它的MAC 01:00:5E:10:10:11 找出该机子看看有什么服务在运行，如果找不出来那就都是伪造的数据。

[ 本帖最后由 artico 于 2006-10-5 10:03 编辑 ]

allmoxie

01开头的MAC地址，是组播组从主机组普通MAC地址的后23位映射而来的是吗？我这样理解不知道对不对！
我查找过以“10：10：11”和“90：10：11”结尾的MAC都找不到。

[ 本帖最后由 allmoxie 于 2006-10-5 14:29 编辑 ]

artico

不好意思，上面的有错误，你应该是找不到该MAC地址的哈，，，因为01:00:5E开头的MAC地址是数据连路层的组播地址，至于它们之间是如何映射的，我也还没 看明白，不过，你放心，这样组播对你的网络没什么影响，据我猜，这些数据应该都是你的电影服务器发送出去的，可以试着关闭服务器情况下捕获数据看看。具体的看看下面的说明


IP 组播地址分配

在组播网内，一个组播群组指定为一个 D 类地址。使用点分十进制表示发来描述组播地址的范围是： 224.0.0.0 到 239.255.255.255 ，但是地址 224.0.0.0 是保留的，它不能赋给任何群组。

在组播通信模型中，需要两种新型地址：一个 IP 组播地址和一个 Ethernet 组播地址， IP 组播地址表示一组接收者，它们要接收发给整个组的数据；由于 IP 包封装在 Ethernet 帧内，所以还需要一个 Ethernet 组播地址。为使组播模型正常工作，主机应能同时接收单播和组播数据，主机需要多个 IP 地址和 Ethernet 地址，其中单播 IP 和 Ethernet 地址用于单播通信，而 Ethernet 组播地址用于组播通信。如果主机不准备接收组播地址，就设置为零组播地址。所以，单播和组播地址之间的主要差异在于每个主机都有一个惟一的单播地址，组播地址则不然。

将 D 类 IP 地址映射为 Ethernet MAC 地址是由数据链路层完成的。从组播映射到令牌环网络第 2 层地址的过程，是 CISCO 路由器采取的工作程序，而 Ethernet 及 FDDI 网络从组播到第 2 层的映射相当直接。

在映射过程中，组播 IP 地址中共有 9 位不参与替换，包括高位字节 8 位以及紧接在该字节后面的一个标志位，其中最开始的 4 位 1110 表示属于 D 类 IP 地址，剩下 23 位进行替换，将 IP 组播地址中的低 23 位取代 Ethernet 组播地址 01 ： 00 ： 5E ： 00 ： 00 ： 00 的低 23 位。因此，有 5 位真正不参与映射，无论这些位的值是什么，组播 Ethernet 地址都是相同的。由于 5 个位共可以有 32 种不同的组合，所以映射并不具有惟一性。

[ 本帖最后由 artico 于 2006-10-5 14:40 编辑 ]