ARP/Ethernet tráfico sospechoso desde puerta de enlace en LAN
Hola:
Hace unas semanas que contraté el servicio de fibra y me realizaron la instalación en mi casa. La red es pequeña, con menos de 10 equipos conectados en total. Desde el punto de vista de la experiencia de usuario todo parece funcionar correctamente, nada notable fuera de lo normal.
Sin embargo, hoy realicé algunas comprobaciones, en concreto una captura con Wireshark desde una de las máquinas que tengo conectadas (por WiFi) y he observado algo de tráfico sospechoso, parte del cual se puede observar en las capturas que adjunto.
La fuente de los paquetes es siempre el router, he comprobado la MAC y coincide. Puntos a notar:
- Las peticiones ARP se suceden hasta 192.168.1.255 y luego comienzan de nuevo en 192.168.1.2, continuamente a una velocidad de alrededor de 10 peticiones por segundo. Es decir, el router está continuamente escaneando por ARP el rango completo de direcciones privadas. Aparentemente, esto continua eternamente. Pienso que esto no es comportamiento normal, ¿cierto? ¿Puede ser simplemente una "característica" del router?
- Como se puede observar, hay un patrón en las peticiones. Dos peticiones por IP, en grupos de dos, una de 56 bytes, otra de 60 bytes. En las de 60 bytes Wireshark informa ("expert info") de un evento de seguridad de seguridad "note": "Expert Info (Note/Protocol): Didn't find padding of zeros, and an undecoded trailer exists. There may be padding of non-zeros.".
¿A qué se debe este comportamiento?
