Al analizar algunos registros de tráfico, noté un nodo haciendo ping a su puerta de enlace con un gran tamaño de paquete de ping, que van desde 700 bytes a 1 MB. Es un ping constante desde el nodo a la puerta de enlace y el tamaño por ping es bastante alto. ¿Alguien sabe por qué esto podría estar sucediendo o si hay un beneficio (posiblemente con fines de prueba) para manipular el tamaño de PING?
Respuestas:
Es para garantizar que la ruta tomada pueda manejar el paquete grande, no todas las rutas tienen la misma MTU en todo momento. Tener una buena MTU también evitará la fragmentación de IP.
El único beneficio de usar una gran carga en un ping es probar la estabilidad de la línea. Si una línea fluctúa o se desconecta con una carga alta, pero no con una carga pequeña, un ping estándar con solo 32 bytes no detectará el problema.
Nadie mencionó el PING DE LA MUERTE ?
Un ping de muerte es un tipo de ataque en una computadora que implica enviar un ping malformado o malicioso a una computadora. Un mensaje de ping formado correctamente suele tener un tamaño de 56 bytes o 84 bytes cuando se considera el encabezado del Protocolo de Internet [IP]. Históricamente, muchos sistemas informáticos no podían manejar correctamente un paquete de ping más grande que el tamaño máximo de paquete IPv4. Los paquetes más grandes podrían bloquear la computadora de destino .
En general, el envío de un paquete de ping de 65.536 bytes viola el Protocolo de Internet como se documenta en RFC 791, pero se puede enviar un paquete de tal tamaño si está fragmentado; cuando la computadora de destino vuelve a ensamblar el paquete, puede producirse un desbordamiento del búfer, que a menudo causa un bloqueo del sistema.
No creo que esté tan extendido como solía ser, pero si quieres un paquete de ping grande, bueno, DDoS es uno.
Solo para ofrecer otra posibilidad (poco probable): no tengo ningún contexto sobre quién está generando el registro, y no sé con qué frecuencia está viendo estos pings, sino porque puede poner lo que quiera en el ICMP / paquetes de ping, ocasionalmente se utilizan un canal de comunicación encubierto, es decir, un túnel ICMP / ping . Presumiblemente vería frecuentes pings de gran tamaño saliendo (y posiblemente regresando a) un nodo dado, si alguien está usando un túnel de ping por alguna razón.
Un enrutador defectuoso, incluso cableado, puede fallar en pings grandes y tener éxito en pequeños, hasta que se reinicie, por lo que puede usarse para problemas de depuración como este
La pérdida de paquetes puede ser el resultado de una mala conexión y no siempre se puede detectar con un ping normal.
ping 208.67.222.222 -l 40096 -n 20 o en Linux es -s 40096
Esto hace sonar un servidor especial que permite un gran tráfico de ping y busca la pérdida de paquetes en la línea. Tuve una pérdida de paquetes en una línea cableada que evitó que parte del tráfico fuera de ida y vuelta.