Mensajes

[192.168.1.0]

Primeramente, el switch no tiene capacidades de ruteo porque esto solo es en capa 3. Los switch trabajan con capa 2.

Es cierto que los switches trabajan con MACs por que cada segmento es conmutado, hay un dominio de broadcast para cada interfaz a diferencia de los hubs.

Ahora para saber si el paquete va para fuera de la red se hace una comparación bit a bit de la mascara con el destino.

De tal forma que si el resultante de esta operación AND bit a bit resulta la ID de Red no saca el paquete de la red.

Por decir algo....

Tienes una red con un ID de 192.168.1.0 y una mascará de 255.255.255.0. Lo que te deja 254 hosts para utilizar.

Tienes PC 1 = 192.168.1.1
Tienes PC 2 = 192.168.1.2

Envias un paquete a 192.168.1.2 desde 192.168.1.1.

La IP del destinario en binario se ve así: 11000000.10101000.00000001.00000010
La mascara de red en binario se ve así:  11111111.11111111.11111111.00000000

El resultante es:                                    11000000.10101000.00000001.00000000

Que es 192.168.1.0, la ID de la Red.

Se hace la misma operación con la fuente IP y si hacen match se sigue manejando desde la misma red.

No estoy muy seguro de quien hace la comparación, pero yo diría que esto lo hace el router.

Saludos.

Hola gracias!!
Si si,esa comparacion la tengo clara.
Lo que pasa,que pensando el funcionamiento del switch,se me hizo un poco de lio.
O sea,como sabe esl switch que tiene que entregarle el paquete a la puerta de enlace?Y supongo,que el paquete que le llega,ya le viene en el encabezado como "destino",los datos de la puerta de enlace.

Gracias otra vez!

te estás haciendo un lío. creo que sé a qué te refieres.
correcciones...
escenario:
PC1 y PC2 ---- SW ---- Router

1.PC1(IP1) hace ping a PC2(IP2):
mira si la IP de PC2 esta en la misma red que IP1
-si está en la misma red manda un bradcast preguntando MAC de PC2.
-si no está en la misma red, en PC1 busca y manda a su gateway. y este gateway es indicado/configurado previamente en PC1.
si no tiene gateway configurado el paquete será descartado

en PC1 y PC2 tiene que tener gateway configurado en cada PC para que salga de su red.

Buenas!Gracias por contestar!
Te comento,entiendo perfecto lo que decis.
A partir de lo que decis,mi consulta es esta:
La PC1 ,sabe que estan en la misma red,hace el broadcast para averiguar la mac de la PC2,eso barbaro,ahora,una vez que envia el paquete a la PC2,en realidad
ese paquete le llega al switch y es ese mismo el encargado de entregar el paquete
a la PC que corresponda,cierto?
Ahora bien,cuando la PC1,debe enviar el paquete a la puerta de enlace,el switch recibe el paquete ,y se fija en el encabezado del paquete para quien es,y al tener los datos del Gateway,se lo envia a el,es asi?

Muchas gracias!

1- no el ping se maneja con capa 3 no capa 2 osea el router lo mandacuando tu haces ping lo haces a una direccion IP no a una MAC Address

2- no se si entendi bien pero tomando en cuenta q el router es el q enruta el es el q se fija de eso

3- si de hecho el router le dice bueno yo puedo encontrar esa ruta ya q normalmente maneja DNS

cuando haces el ping a google la usa, xq dice esta ip 173.194.73.99 no es /24 y esta dirección ip no es nuestra por ende el router la busca en Internet

No no,fijate que en los puntos 1 y 2,estoy hablando de pings dentro de una red local,nada de intervencion de routers.Gracias de todos modos.

Buenas buenas ,como les va?
Les comento que tengo una mesconlanza en la cabeza,en realidad algunas dudas
puntales,espero que sean entendibles:

Supongamos el sgte escenario ,1 switch,el cual tiene 2 pc conectadas y un router que este actua como puerta de enlace (el ejemplo esta bien planteado?)


1-Primero,cuando una pc,hace ping a la otra,una vez que hace broadcast para obtener la mac de la otra pc,el switch recibe el paquete lo lee y sabe a que maquina mandarle el paquete "ping" digamosle ,estoy en lo correcto?

2-La pc que acaba de hacer ping,usando su mascara de red,se fija si la ip a donde se quiere hacer ping esta dentro de la misma red

3-Si la ip no esta dentro de la misma red (Por ejemplo pusimos la ip de  google),
ese paquete lo manda a la puerta de enlace (router conectado a la boca del switch).Ahora mi pregunta aca es la siguiente,el paquete primero le llega al switch,este como sabe que le tiene que pasar el paquete al router?
Imagino lo siguiente,el switch busca la ip destino del paquete que le llego a ver si corresponde a alguna de sus bocas,como no encuntra ninguna coincidencia,manda el paquete al router.

Si en el punto 3 estoy en lo correcto(Por ahi no),el punto 2 es innecesario no(O en realidad puse algo incorrecto)?
Entonces aca viene la proxima pregunta,en que momento un equipo usa su mascara de red? Ya se lo que es,delimita que parte es la red y que parte corresponde a un host,pero no me cierra en que momento lo esta usando en mi ejemplo


Por el momento dejo esas dudas!!
Muchas gracias!

[todos]

Perdón por contestar hasta ahora, no pensé que el hilo continuara.

Ese es el sentido de un ataque Man in the middle (ponerse en medio e interceptar el tráfico entre el destino y la víctima o entre ésta y aquél), es también la forma en como funcionan las redes IP que lo permiten. Cuando la máquina que ataca manda paquetes ARP reply a la víctima (envenenamiento del ARP caché) le hacen creer que ella es el router y que si quiere enviar paquetes de conexión a hotmail, los tiene que mandar a través de ella. La víctima actualiza su caché y pone la dirección MAC del atacante en lugar de la del router y le manda todos sus paquetes destinados a cualquier máquina fuera de la LAN mientras continue el envenenamiento, sea a hotmail o gmail o facebook.

Ahora bien, el atacante configura su equipo para que reciba el tráfico http de la víctima (todo el tráfico dirigido al bien conocido puerto tcp 80 discriminando todo lo demás que no le interesa) y efectivamente actuar como un router, procesa los paquetes en todo el camino de desencapsulamiento (trama, paquete, segmento), entra en escena sslstrip para hacer creer que es una conexión segura cuando no lo es y finalmente los encamina al verdadero router quien se encarga de mandarlos al servidor de hotmail.  

El equipo atacante se está haciendo pasar por el router que manda los paquetes de la víctima, fuera de la LAN al servidor de hotmail. Sólo se pone en medio para husmear los paquetes y hacerse de los pass, es decir nunca en este caso se encarga de contestar.

Como ya te expliqué la máquina atacante recibe paquetes dirigidos al puerto 80 porque ese puerto está asociado con el tráfico http de la víctima, no le interesa otro, y de hecho a través de esa configuración descartará todo lo demás que pueda venir de la víctima. En realidad el equipo atacante no tiene a la escucha ningún servidor web, sólo tiene una regla del cortafuego para aceptar tráfico dirigido al puerto 80, porque no desea recibir todo lo que venga del equipo al que se está atacando, a ver si ahora me entiendes mejor.

No entiendo bien a que te refieres.

Por supuesto en este caso particular es sólo el equipo que esté siendo atacado mediante el envenenamiento ARP el que manda paquetes al atacante. De regreso de hotmail los paquetes llegan al router, usa NAT y como éste no está siendo atacado con envenenamiento ARP sabe a que equipo mandarlos. Todo el ataque incluyendo el uso de sslstrip es para capturar información privada que iría dirigida a una aplicación http aunque el usuario crea que es https.
 

Si no hubiera ataque de envenenamiento ARP en la víctima y pudieras 'ver' los paquetes que pasan por el router efectivamente podrías ver el tráfico http, si fuera tráfico https iría cifrado. Pero recuerda un router tradicionalmente no está diseñado para 'ver' el contenido de los paquetes IP, sólo revisa la cabecera de éstos para tomar decisiones de por cual puerto físico encaminarlo(mapeando la dirección IP con sus tablas de rutas) o si encuentra un error en ella regresar un paquete de control (ICMP) al equipo que los mandó.

Saludos.

Buenas!Tuve unos problemitas con internet,voy a leer todo lo que me falta y contestar! Gracias!

Perdón por contestar hasta ahora, pues no había entrado en estos días.

Para aclarar la duda, hay que comprender que las tramas son PDU de capa 2, ahí no interesa el puerto lógico 80 que corresponde a un identificador de capa de transporte, el cual sirve para poder pasar los datos a la aplicación adecuada en la capa de aplicación (en nuestro caso es http). El arpspoofing se de en capa 2-3 (bueno se origina en capa 3 para el mapeo de dirección lógica a física) para poder hacer MITM, el tráfico de la víctima que en este caso interesa capturar (con el MITM) es el de http, por eso el puerto 80 es importante en el atacante, pero no recibe tramas en ese puerto en realidad, lo que recibe son segmentos de la capa de transporte con un identificador de puerto, segmentos que venían encapsulados en paquetes IP con una dirección lógica, que a su vez venían en tramas de capa 2 con una dirección física (la dirección MAC que nos sirve para el envenenamiento de ARP caché de la víctima y hacernos pasar por quienes no somos).

El proceso se invierte en el equipo atacante después de haber capturado el tráfico http en dirección al verdadero router. Se encapsula todo hasta llegar a construir una nueva trama (bueno no solo una sino las necesarias) que se redirige al router. Todo ese trabajo de encapsulamiento y desencapsulamiento se encarga de hacerlo el SO junto con la interfaz de red (drivers) para que en realidad salgan pulsos eléctricos a la capa física portadora.

Entonces puerto lógico sirve a capa de transporte y aplicación. Pejem. puerto TCP 80 generalmente http. Las tramas no ven nada de puertos, solo saben de dirección MAC y otros asuntos de capa 2.

Espero haber ayudado aunque sea varios días después.

Saludos.

Hola!
Entiendo bastante la explicacion pero sigo con alguna otra duda.(Lo bueno que empeze un curso de redes hace 2 semanas)
Vos decis que la maquina atacante recibe por el puerto 80 segmentos de la capa de transporte con un identificador de puerto.
Ahora mi pregunta es porque?
A lo que voy es a lo siguiente:
El usuario quiere ingresar a www.hotmail.com ,porque la maquina atacante recibe por el puerto 80 esos segmentos que decis vos?
Yo pense que solo el servidor del sitio a visitar (en este ejemplo hotmail),recibe los segmentos en el puerto 80 y como tiene algun apache escuchando ese puerto,responde.
Osea,no entiendo porque la maquina atacante ,recibe informacion por el puerto 80 si el pedido de lo que desea visitar el usuario no corresponde a esa maquina.
Quien se esta encargando entonces de enviarle al puerto 80 de mi maquina(atacante) toda esa informacion?
Corriendo el Wireshark ,puedo ver claramente los pedidos http de la victima por el puerto 80,ahora si no haria ninguna ataque y se corriera (solo imaginando) el Wireshark en el router,tambien veria lo mismo?Porque por lo que me dijieron mas arriba el router no recibe esa info por ningun puerto logico.
Perdona si te maree un poco!Pero me cuesssssssta!jajajaj ,Gracias nuevamente!!

En mi opinión y hasta donde tengo idea los puertos son identificadores lógicos de capa de transporte (usados en demultiplexión), los routers comunes trabajan en capa de red y se encargan del ruteo de paquetes, es decir remueven la cabecera de la trama que es de capa 2 ven la cabecera IP y la comparan con la tabla de rutas (nada tienen que ver con puertos lógicos), luego encaminan el paquete por la interfaz que corresponda (puerto físico del router) se vuelve a encapsular en otra trama que corresponda a capa2 y se manda al siguiente hop o al host destino si está en ese segmento de red.

En este caso cuando se hace arpspoofing el equipo atacante recibe las tramas y las redirige al verdadero router, en el transcurso se analizan los paquetes enviados por la víctima y su contenido, la cabecera de la trama es descartada porque el equipo está configurado para hacer forwarding, se inspecciona el contenido, sslstrip engaña a la víctima haciéndole creer que su conexión es cifrada en capa de transporte (SSL), cuando en realidad no es así durante el trayecto de la victima al atacante. Eso le permite a éste capturar data del paquete en texto plano, por ejemplo passwords. Después los paquetes de la víctima se vuelven a encapsular en otra tramas ahora dirigidas al verdadero router que las saca con una conexión SSL al sitio de destino con https.

Hola gracias por la respuesta!
Igualmente,existe algo que todavia dudo.
Vos en una parte decis "cuando se hace arpspoofing el equipo atacante recibe las tramas y las redirige al verdadero router"
Entonces yo pregunto,porque nuestra maquina (maquina atacante) recibe las tramas por el puerto 80??Y el router (por lo que comento el otro muchacho) no la recibe por ningun puerto logico,sino por el fisico?
Eso no me queda claro,porque nosotros "actuando como el gateway" recibimos la trama por el puerto 80.
Gracias nuevamente!!

Hola camarada, cómo estas?

Cuando envías una trama a un router, no lo haces a través de un puerto (socket) sino por un puerto físico.

Te explico.

Cuando envías una petición a X página, lo mandas a través del puerto LAN, que es un puerto físico, no un puerto lógico, no es un socket (no es el puerto 80 ni 46 ni 1555), sino el LAN1, o 2, etc.

A partir de ahí el router envía la petición a servidores DNS y dependiendo del servicio que hayas solicitado, te devuelve el resultado.

Piensa que por ejemplo un cablemodem, que no es router, no te dirijes a él por puertos, porque no es capaz de leerlos, cuando haces una petición va al puerto físico y de ahí ya te olvidas.

Buenas!Gracias por la respuesta!
Eso me quedo claro,pero ahora se me abre otra duda.
Cuando uno hace un arpspoofing,nuestra maquina pasa a ser el gateway de la victima.
Y cuando la persona entra a X sitio (www.hotmail.com) ,ese pedido yo se que entra a mi maquina(maquina atacante) por el puerto 80 (monitoreando con wireshark se ve,o cuando uno usa SSLStrip debe redireccionar lo que entra por el puerto 80 a otro puerto).
Entonces porque en ese caso la trama de datos entra por el puerto 80,pero si va directamente al router la trama no va por ningun puerto logico?

Si hay algo que no se entendio,avisame!!Muchas gracias!!!

Buenas como les va? 
Mi duda es la siguiente,mas que nada sobre Routers y Puertos:

Cuando al Router le llega un pedido de X host que desea visitar X pagina,por cual puerto recibe esta informacion?
Me dijieron que  el router no mira ningun puerto, que solo recibe la trama de datos y chequea  la IP de destino, que es lo que utiliza para enrutar.
Estos es asi?
Muchas gracias!