[port139ml:02570] Re: monyolog送信パケットのモニタ

[Miharu <ensi@xxxxxxxxxxxxxxxx>]

瞠です。


Tsutomu Fujinami <tsunami@xxxxxxxx> wrote:
> 3-way Handshakeでコネクションを確立しようするフェーズにおいてなんですけど、
> monyologとsyunlogのログに、パケットの順番が違っています。
> 本来ならば、syunlogのログのように、
> 
> 1) 192.168.0.116:2856 -> 216.239.33.101:80 SYN パケット
> 2) 216.239.33.101:80 -> 192.168.0.116:2856 SYN+ACK(上記のSYNに対する) パケット
> 3) 192.168.0.116:2856 -> 216.239.33.101:80 ACK(上記のSYN+ACKに対する) パケット
> 
> の順番にパケットが流れて、コネクションが確立します。
> 
> しかし、上記のmonyologのログでは、2)、3)のパケットの順番が入れ替わって記録
> されています。

気づきませんでした。

他のソフトウェアで同じような事を試してみました。
　・ドライバを使用しないパケットダンプ
　　　http://homepage2.nifty.com/spw/hint/PacketDump.html

常に順番が的確かどうかは分かりかねますが、
monyologと同様に順番が逆になる結果を得ました。
同時にキャプチャしていたEtherealではいわゆる順番通りでとれいます。

また、monyologで他ホストから他ホストへのTCPのキャプチャは、
いわゆる順番通りにとれています。当たり前(?)かもしれませんが。






Makoto Shiotsuki <shio@xxxxxxxxxxxx> wrote:
> これって、実行するとpromiscuous modeになるような
> 気がするのですが...
> promiscdetectの結果もpromiscuous modeだといってるし。

しまった、promiscuos modeでとれるモノだとばかり思ってました。。。


正確に私の環境でのmonyologの現状を書きますと、

　Windows 2000 Pro SP3 ではpromiscuos modeでキャプチャ
　（自ホストからの送受信パケットも全てキャプチャ）

　Windows XP Pro SP1 ではpromiscuos modeでキャプチャ
　（自ホストからは受信パケットのみキャプチャ）

という具合です。