Вопрос или проблема
У меня в лаборатории много серверов Windows. Я хотел использовать широковещательный пинг для обнаружения машин. Я стараюсь избегать использования центрального сервера для поддержания списка машин, так как это кажется мне единой точкой отказа.
ping 10.0.0.255 в сети с маской 255.255.255.0 не получит никакого ответа.
Как включить ответ на широковещательный пинг?
Программа Windows ping не может отправить запрос ping на широковещательные адреса. Но вы можете использовать API IcmpSendEcho для отправки ping-запроса в подключенную сеть. Однако, по моим наблюдениям, это не работает с:
- непосредственно подключенной станцией Windows – кажется, что станция Windows не отвечает на широковещательные ICMP-запросы
- через коммутатор – кажется, что коммутатор блокирует широковещательные ICMP-запросы
Если диапазон IP-адресов не слишком велик, возможно использовать:
- ARP-сканирование
- ICMP-сканирование
- SNMP-сканирование – намного медленнее, но работает
Вот метод, который я использую:
Сначала в командной строке используйте это:
FOR /L %i in (1,1,255) do @ping -n 1 192.168.1.%i | find "Reply"
Конечно, вам нужно указать ‘реальный’ адрес вместо 192.168.1.%i, это просто пример.
Вам не обязательно использовать перенаправление (-> | find "Reply") на команду find, но говорят, что это фильтрует мусор; я делал и так, и так и не заметил большой разницы.
Затем выполните команду:
arp -a > filename.txt
Откройте файл filename.txt с помощью Notepad++ или аналогичной программы, или я часто открываю его в Excel и создаю таблицу подключенных устройств.
Вы можете использовать Angry IP Scanner, который отпингует всю подсеть и покажет, какие хосты находятся в сети. Надеюсь, в зависимости от вашей схемы имен, вам удастся выделить серверы среди других хостов в сети.
.
Ответ или решение
Для IT-специалиста, работающего с сетями Windows, возможность обнаружения серверов без использования центрального сервера является важной задачей для поддержания отказоустойчивости и минимизации единой точки отказа. Однако включение ответа на широковещательные пакеты ICMP (ping) на Windows серверах может представлять определенную сложность, так как операционные системы Microsoft по умолчанию не отвечают на такие запросы, чтобы избежать потенциальных угроз безопасности. Давайте рассмотрим, как можно обойти это ограничение, обеспечив при этом безопасность инфраструктуры.
Теория
Широковещательные запросы ICMP позволяют идентифицировать активные устройства в пределах определенного сетевого сегмента, отправляя запросы на широковещательный адрес сети. Однако реализация этого метода в Windows-системах встречает препятствия ввиду заложенных механизмов безопасности и поведения сети.
-
Природа протокола ICMP: Протокол ICMP используется для диагностики сетевых соединений, он не предназначен для управления или изменения статуса сетевых устройств. В случае широковещательных запросов (например, к адресу 10.0.0.255 в сети с маской 255.255.255.0), цель состоит в том, чтобы все устройства в этой сети ответили на запрос, но Windows-системы выполняют фильтрацию таких широковещательных запросов.
-
Ограничения Windows-систем: По умолчанию Windows блокирует такие запросы в целях безопасности. Это связано с тем, что широковещательные запросы могут быть использованы злоумышленниками для перегрузки сети или устройства (атака типа "Smurf"), и ответ на такие запросы делает систему более уязвимой.
-
Сетевое оборудование: Даже если узлы в сети могли бы ответить на широковещательный запрос, сетевые коммутаторы чаще всего фильтруют такие пакеты, предотвращая их передачу по всей сети.
Пример
Наиболее простой способ обхода этой проблемы без изменения стандартного поведения Windows — использовать цикл обхода IP-адресов и анализировать полученные ответы. Это можно реализовать следующим образом:
FOR /L %i in (1,1,255) do @ping -n 1 192.168.1.%i | find "Reply"Этот командный файл будет отправлять одиночный ping-запрос ко всем IP-адресам от 192.168.1.1 до 192.168.1.255, анализировать команду на наличие ответов, и выводить лишь успешные обращения.
Продолжив, можно использовать команду ARP для фиксации MAC-адресов активных устройств в сетевом сегменте:
arp -a > filename.txtТакая процедура позволяет собрать информацию о доступных устройствах и сохранить ее в файл для дальнейшего анализа.
Приложение
После получения указанной информации рекомендуется воспользоваться сторонними инструментами для дальнейшего анализа, такими как Angry IP Scanner, который предоставляет более удобный интерфейс для обнаружения и идентификации устройств на сети. Angry IP Scanner позволяет эффективно сканировать сеть и предоставляет гибкие возможности для синхронизации данных и обработки.
Важно отметить, что каждый из этих методов служит для целей тестирования и анализа сетей в защищенной среде и не должен использоваться в производственных сетях без должной проверки. Перед внедрением подобных решений в корпоративной сети необходимо консультироваться с сетевыми администраторами и убеждаться в соответствии локальным правилам и политикам безопасности.
Заключение
Позволяя обнаруживать устройства в сетевом сегменте без использования центрального сервера, использование командной строки для последовательного обхода адресов — эффективное решение для небольших сетевых сегментов. Тем не менее, всегда важно помнить о безопасности и обработке данных в сети, а также возможностях и ограничениях используемых приложений, таких как Windows.