Re: arpwatch

[Yauhen Kharuzhy <jekhor@gmail.com>]

On Sat, Oct 07, 2006 at 05:13:12PM +0400, Stanislav Maslovski wrote:
> On Sat, Oct 07, 2006 at 03:43:46PM +0300, Yauhen Kharuzhy wrote:
> > On Sat, Oct 07, 2006 at 04:00:21PM +0400, Stanislav Maslovski wrote:
> > > On Sat, Oct 07, 2006 at 02:33:46PM +0300, Yauhen Kharuzhy wrote:
> > > > 
> > > > А никто случаем не обучал arpwatch присылать сообщения не в стиле "У такого-то
> > > > IP сменился ethernet address", а наоборот, "у такого-то MAC сменился
> > > > IP"? А то лениво в потроха лезть...
> > > 
> > > А это разве не покрывается сообщением "new activity"?
> > 
> > Нет.
> >     new activity
> >               This  ethernet/ip  address pair has been used for the first time
> >               six months or more.
> 
> Да, верно. Я уж и сам сообразил (просто arpwatch до сегодняшнего дня не
> пользовал, а маны читал невнимательно).
> 
> > К тому же, оно только в логе есть. По почте не шлётся.
> 
> Хм, а по ману такого не скажешь.

Точно... Но мне такого ни разу не приходило :) Кроме того, в мане есть
расхождения как минимум с "new station" --- The ethernet address has not been seen before.
Мне регулярно приходят такие сообщения с одним и тем же MAC, но разными
IP.

> > А мне надо, чтобы при смене IP-адреса говорили не changed
> > ethernet address, а, грубо говоря, changed IP address (как оно и есть на
> > самом деле).
> 
> Тогда, вопрос: как оно эти две ситуации различить сможет? И то, и другое
> можно подделать с равным успехом.
Это не две ситуации. Это два представления одной ситуации. То, которое
хочется мне, удобнее для последующей промывки мозгов кому следует.


> Плюс, ведь есть еще flip flop message? Чем плохо? 

Тоже не совсем то, что надо.
The ethernet address has changed from  the  most  recently  seen
              address  to  the  second most recently seen address.


-- 
Yauhen Kharuzhy		jekhor _at_ gmail.com
			JID: jek@xdsl.by