使用大ping数据包的目的是什么？

38

在分析一些流量日志时，我注意到一个节点使用大的ping数据包大小（从700字节到1 MB）对它的网关执行ping操作。从节点到网关，这是一个恒定的ping，每次ping的大小都很高。有谁知道为什么会这样或者操纵PING大小是否有好处（可能出于测试目的）？

troubleshooting icmp

— 注射器
source

48

这是为了确保采用的路径可以处理大数据包，而不是所有路由都具有相同的MTU。拥有良好的MTU还将防止IP碎片化。

— 棘轮怪胎
source

2

使用巨型框架无法充分验证巨型框架是否可以工作。如果MTU较低，则大多数路由器只会将较大的帧分割成碎片（尽管某些路由器在这种情况下可以选择丢弃）。使用“不分段”标志的ping更合适，因为它涵盖了所有接口的MTU小于发送的数据包的所有实例。

— MaQleod 2014年

1

@MaQleod或它检查答复中需要碎片的标志。

— 棘轮怪胎

1

大约10年前，我不得不调试Windows的默认MTU，因为该连接从未连接到特定位置。通过将ping数据包大小从默认值更改为更大的值可以检测到。Afaik 1500太多了，而1400允许正常运行（芬兰的ADSL）。

— Juha Untinen 2014年

PPPoE（通常与DSL一起使用）添加了8个字节的标头，因此PPPoE连接的MTU通常为1492。–

— LawrenceC

@MaQleod在标准中已经很清楚地表明，是否要对太大的数据包进行分段的决定不是由路由器决定的。在IPv4中，发送方决定是否将数据包分段或是否将错误返回给发送方。在IPv6中，路由器从不对数据包进行分段，如果数据包太大，则始终将错误发送给发送方。

— kasperd 2014年

46

在ping上使用大负载的唯一好处是测试线路的稳定性。如果线路在高负载下波动或脱机，而在小负载下却没有，则仅32字节的标准ping不会检测到问题。

— LPC芯片
source

5

我希望我可以接受两个答案，因为一个可以补充另一个。谢谢。

— 喷油嘴

18

没关系。这句话对我来说是足够的奖励。:)

— LPChip

9

除此之外，当我以前为ISP工作时，有时会使用较大的数据包大小来解决数据包丢失的问题，因为当线路饱和时，我们的QoS系统会无意中丢弃最大的数据包。

— Thebluefish 2014年

17

没有人提到死亡之谜？

死亡ping是对计算机的一种攻击，涉及向计算机发送格式不正确或其他恶意的ping。正确形成的ping消息的大小通常为56字节，而考虑Internet协议[IP]标头时，则为84字节。从历史上看，许多计算机系统无法正确处理大于最大IPv4数据包大小的ping数据包。较大的数据包可能会使目标计算机崩溃。

通常，发送65,536字节的ping数据包违反了RFC 791中记录的Internet协议，但是，如果将其分片，则可以发送这种大小的数据包。当目标计算机重组数据包时，可能会发生缓冲区溢出，这通常会导致系统崩溃。

我不认为它曾经像以前那样广泛，但是如果您想要大ping数据包的目的，那么DDoS 就是其中之一。

— 第313章
source

2

啊，就是“死亡之屏（PoD）”攻击。大多数现代操作系统不再容易受到这种攻击。而且，大多数现代网络设备不再容易受到此类攻击。值得注意的是，我根据我的问题提出的原始方案是，单个内部节点对它的网关执行ping操作。

— 喷油嘴

没错，我提到它并不像以前那样广泛，但是，如果您认为每一个网络设备都无法渗透它，或者仍然没有恶意使用它，那可悲的是，这是错误的。

— MDMoore313 2014年

1

您引用的是Yahoo Answers帖子，因此它必须是真的吗？我们可以同意不同意。我的评论仍然有效。干杯，并保持健康。

— 喷油嘴

4

目前的系统仍然容易受到这种一般类型的攻击：ICMP回应请求可以引起对瞻博网络SSG20拒绝服务的情况，漏洞的ICMPv6可能允许拒绝服务（Windows Vista中-8，Server 2008和2012）。

— 丹尼尔·贝克

Ping of Death的名称具有误导性，因为该漏洞在于处理最后一个片段的方式，而该漏洞甚至无法告诉您它是哪种类型的数据包，因为该漏洞位于第一个片段中。如果主机容易受到攻击，则只要发送损坏的最后一个片段，就可以使用任何类型的数据包对其进行攻击。而且，这与DDoS攻击没有任何关系。您只需要发送一个损坏的数据包，就不需要分布式攻击。最后，分段数据包无法达到1MB。理论上该限制为128KB，实践中为65.5KB。

— kasperd 2014年

5

只是为了提供另一种（不太可能）的可能性-我没有任何关于谁生成日志的上下文，并且我不知道您经常看到这些ping信息，但是因为您可以将所需的内容放入ICMP / ping数据包，有时会使用隐式通信通道，即ICMP / ping隧道。如果有人出于某种原因使用ping隧道，则大概会看到大型ping频繁地从（或可能返回）给定节点发出。

— 保罗
source

1

从节点到GW的恒定PING，间隔为4-6秒。

— 喷油嘴

2

我以为这个特殊情况不是ping隧道（4到6秒的等待时间会很长，而且他们显然没有收到ping信号），我认为其他答案会更好，但是我想我会离开如果以后有人对某些奇怪的ping行为感到困惑并且不知道ping隧道，则建议在此提出后代建议。

— Paul

2

@paul间谍软件可以方便地进行一种通信方式（例如，关键记录器发送记录的数据）

— 棘手怪胎

@ratchetfreak好点。可能间谍软件或其他恶意软件也不会介意5秒的发送间隔。我认为问题是ping是针对网关还是仅在网关处结束。

— 保罗

@Paul特别是对GW来说是一个持续的PING。

— 喷油嘴

0

坏的路由器，即使是有线的，也可能在大型ping上失败，而在小型ping上成功，直到重新启动为止，因此可以用于调试此类问题。

数据包丢失可能是由于连接不良造成的，因此无法始终通过正常ping来检测到。

ping 208.67.222.222 -l 40096 -n 20 或在Linux上 -s 40096

这会对允许大量ping通信的特殊服务器执行ping操作，并查找线路上的数据包丢失。我的有线数据包丢失，阻止了一些流量往返。

— 乔纳森
source

为什么要下票？

— 乔纳森