Здравствуйте! Результаты вы можете увидеть ниже.
UDP-порты 67 и 68
Общие назначения:
Порт 67 — Bootps
Порт 68 — Bootpc
Входящее сканирование
Обычно этот трафик связан с нормальной работой DHCP и не является атакой на вашу сеть.
DHCP (протокол динамической конфигурации узла) — это способ, с помощью которого ваш компьютер получает уникальный IP-адрес. Когда устройство подключается к сети, оно сначала должно запросить IP-адрес (если не используется статический IP). Для этого оно рассылает запрос DHCP-серверу: UDP 0.0.0.0:68 → 255.255.255.255:67. Поскольку запрашивающее устройство ещё не имеет IP-адреса (отсюда и запрос), в качестве исходного адреса используется 0.0.0.0. А поскольку устройство новое и не знает, где находится DHCP-сервер, запрос посылается на всю сеть (адрес 255.255.255.255).
В некоторых сетях такие запросы могут отслеживаться вашим файерволом (в зависимости от конфигурации сети провайдера и настроек логирования маршрутизатора/файервола), или же ваш маршрутизатор/файервол регистрирует такой трафик между собой и DHCP-сервером провайдера в процессе получения или обновления WAN IP-адреса.
Далее DHCP-сервер отвечает сообщением: UDP 192.168.1.1:67 → 255.255.255.255:68. Обычно это предложение IP-адреса (DHCP offer). Обратите внимание, что ответ также посылается по широковещательному адресу (255.255.255.255), потому что запросившее устройство пока не знает своего IP — он содержится в этом ответе.
В передаваемых данных указаны IP-адрес и другая сетевая информация, необходимая устройству для подключения (время аренды адреса, маска подсети и т.д.).
Снова повторим, что такие широковещательные пакеты могут регистрироваться или блокироваться файерволом в зависимости от конфигурации сети и логирования оборудования.
Иногда можно увидеть такой обмен:
UDP 192.168.1.101:67 → 192.168.1.1:68 — запрос,
следом ответ UDP 192.168.1.1:68 → 192.168.1.101:67.
Это, как правило, запросы на продление аренды IP-адреса, когда устройство уже имеет IP и просит продлить срок использования (lease), либо, если продление невозможно, получить новый IP от DHCP-сервера.
Поскольку устройство уже знает, где находится DHCP-сервер, и имеет действующий IP-адрес, в таких запросах не используются адреса 0.0.0.0 и 255.255.255.255.
Исходящее сканирование
Большинство маршрутизаторов и файерволов не логируют такой трафик, но поскольку чаще всего роутер и есть локальный DHCP-сервер, можно увидеть логи обмена между роутером/файерволом и подключающимися устройствами, когда те получают IP-адреса в вашей сети.
Обычно DHCP-сервер не располагается в зоне WAN за файерволом, поэтому в таких случаях рекомендуется проверить конфигурацию своей сети.
