某集客專線ARP欺騙故障分析

1、某集客專線arp欺騙故障分析1、 網(wǎng)絡(luò)環(huán)境該專線的網(wǎng)絡(luò)環(huán)境比較簡(jiǎn)單，大體如下圖所示：辦公電腦的網(wǎng)絡(luò)為192.168.200.x/24，網(wǎng)關(guān)地址為192.168.200.254在華為s3528上，服務(wù)器的地址段為10.139.144.x/24。2、 故障現(xiàn)象在辦公區(qū)訪問(wèn)服務(wù)區(qū)時(shí)會(huì)時(shí)通時(shí)斷的現(xiàn)象，辦公電腦是通過(guò)dhcp來(lái)獲取ip地址的。當(dāng)訪問(wèn)不通時(shí)，重新獲取一下ip地址就可以連通，但是用一會(huì)又會(huì)出現(xiàn)訪問(wèn)中斷。3、 故障分析a 分析測(cè)試出現(xiàn)故障時(shí)，我們ping服務(wù)器地址無(wú)法ping通，然后我們ping網(wǎng)管地址也無(wú)法ping通。通過(guò)查看辦公電腦的arp表發(fā)現(xiàn)網(wǎng)關(guān)地址對(duì)應(yīng)的mac地址為全0的mac地址。

2、通過(guò)上面的分析測(cè)試我們可以了解到，當(dāng)主機(jī)無(wú)法訪問(wèn)服務(wù)器時(shí)主機(jī)連網(wǎng)關(guān)都無(wú)法ping通，而且網(wǎng)管的mac地址全為0，即主機(jī)沒(méi)有學(xué)習(xí)到網(wǎng)關(guān)的mac地址，所以主機(jī)無(wú)法與網(wǎng)關(guān)進(jìn)行通信，從而導(dǎo)致主機(jī)無(wú)法訪問(wèn)服務(wù)器。b 抓包分析本來(lái)正常連接時(shí)主機(jī)應(yīng)該有網(wǎng)關(guān)ip地址和mac地址的arp映射表，但是在訪問(wèn)不成功時(shí)并沒(méi)有學(xué)習(xí)到網(wǎng)關(guān)的mac地址，造成故障的原因很大可能是arp欺騙。為了驗(yàn)證是否有arp欺騙，我們?cè)诮粨Q機(jī)s3528上做端口鏡像來(lái)抓取數(shù)據(jù)包，具體部署如下：如上圖所示，因?yàn)檗k公網(wǎng)絡(luò)連到s3528的端口是f0/21，所以我們只鏡像f0/21，該端口鏡像到f0/25，然后把裝有抓包分析工具的筆記本電腦連接到f

3、0/25端口抓取數(shù)據(jù)包。c 數(shù)據(jù)包分析我們?cè)趯?duì)數(shù)據(jù)包進(jìn)行分析時(shí)發(fā)現(xiàn)存在大量的ip沖突，如圖所示：通過(guò)抓包軟件的診斷提示，發(fā)現(xiàn)產(chǎn)生ip地址沖突的源ip地址是故障網(wǎng)絡(luò)的網(wǎng)關(guān)地址通過(guò)觀察上圖，我們可以發(fā)現(xiàn)192.168.200.254對(duì)應(yīng)的mac地址有兩個(gè)，一個(gè)是00:25:64:a8:74:ad，一個(gè)是00:1a:a2:87:d1:5a，通過(guò)具體的分析我們發(fā)現(xiàn)mac地址為00:25:64:a8:74:ad的主機(jī)對(duì)應(yīng)的ip地址為192.168.200.33，如圖所示：00:1a:a2:87:d1:5a才是192.168.200.254真實(shí)的mac地址。所以當(dāng)辦公區(qū)訪問(wèn)服務(wù)器不通時(shí)，我們ping網(wǎng)關(guān)地址不通，是因?yàn)檗k公電腦在向網(wǎng)關(guān)發(fā)送請(qǐng)求時(shí)請(qǐng)求的是錯(cuò)誤的網(wǎng)關(guān)地址，網(wǎng)關(guān)沒(méi)有響應(yīng)主機(jī)的請(qǐng)求，從而導(dǎo)致足跡學(xué)習(xí)不到正確的mac地址，如下圖所示： 所以導(dǎo)致網(wǎng)絡(luò)不通的原因就是由于192.168.200.33這臺(tái)主機(jī)進(jìn)行arp欺騙造成的。d 分析結(jié)論通過(guò)上面的分析，可以看出mac地址為00:25:64:a8:74:ad，ip地址為192.168.200.33的這臺(tái)主機(jī)中了arp病毒，將自己偽裝成網(wǎng)關(guān)，欺騙網(wǎng)段內(nèi)主機(jī)。4、 總結(jié)對(duì)于arp病毒，只要定位到病毒主機(jī)，我們就尅使用通過(guò)arp專殺工具進(jìn)行查殺來(lái)解決這類故障。但是最好