| |
網(wǎng)絡(luò)癥狀：聯(lián)網(wǎng)時(shí)，有時(shí)候網(wǎng)頁打開速度非常緩慢，有時(shí)絲毫沒有動(dòng)靜，顯示無法打開網(wǎng)頁。不過，在非上班時(shí)間，如中午和晚上等休息時(shí)間，網(wǎng)絡(luò)一切正常。根據(jù)這一情況判斷，網(wǎng)絡(luò)硬件故障的可能性微乎其微，經(jīng)過檢查沒有發(fā)現(xiàn)異常情況，排除了物理上的錯(cuò)誤�？磥硎擒浖系膯栴}，腦海中的第一反應(yīng)就是目前比較流行的ARP攻擊。
筆者兼任一所學(xué)校的網(wǎng)絡(luò)管理員，最近該校一棟教學(xué)樓內(nèi)的網(wǎng)絡(luò)突然出現(xiàn)時(shí)斷時(shí)好的現(xiàn)象，嚴(yán)重影響了正常的教學(xué)工作，情況危急，需要馬上解決!
作筆者立即著手進(jìn)行調(diào)查，據(jù)老師們反映：聯(lián)網(wǎng)時(shí)，有時(shí)候網(wǎng)頁打開速度非常緩慢，有時(shí)絲毫沒有動(dòng)靜，顯示無法打開網(wǎng)頁。不過，在非上班時(shí)間，如中午和晚上等休息時(shí)間，網(wǎng)絡(luò)一切正常。根據(jù)這一情況判斷，網(wǎng)絡(luò)硬件故障的可能性微乎其微，經(jīng)過檢查沒有發(fā)現(xiàn)異常情況，排除了物理上的錯(cuò)誤�？磥硎擒浖系膯栴}，腦海中的第一反應(yīng)就是目前比較流行的ARP攻擊。
ARP協(xié)議的中文名為“地址解析協(xié)議”，用于將網(wǎng)絡(luò)中的IP地址解析為硬件地址(MAC地址)，以保證通信的順利進(jìn)行。當(dāng)計(jì)算機(jī)接收到ARP應(yīng)答數(shù)據(jù)包的時(shí)候，就會(huì)對本地的ARP緩存進(jìn)行更新，將應(yīng)答中的IP和MAC地址存儲在ARP緩存中。所以在網(wǎng)絡(luò)中，如果有人發(fā)送一個(gè)自己偽造的ARP應(yīng)答，網(wǎng)絡(luò)可能就會(huì)出現(xiàn)問題，這就是ARP欺騙，其常見的特征就是主機(jī)頻繁掉線。
這與我們的網(wǎng)絡(luò)癥狀非常相似，但是ARP攻擊需要找到它的源頭，一般的方法很難查找，需要在交換機(jī)上進(jìn)行抓包分析，于是找到了Iris Network Traffic Analyzer(以下簡稱Iris)。這是一款網(wǎng)絡(luò)流量分析監(jiān)測工具，可以幫助系統(tǒng)管理員輕易地捕獲和查看用戶的使用情況，同時(shí)檢測進(jìn)入和發(fā)出的信息流，自動(dòng)進(jìn)行存儲和統(tǒng)計(jì)。這款軟件的圖標(biāo)很像一只眼睛，看來 “火眼金睛”是找到了，現(xiàn)在就花工夫怎么用好它了!
由于該教學(xué)樓的交換機(jī)是一臺非網(wǎng)管型交換機(jī)，只好拿著筆記本電腦在網(wǎng)絡(luò)設(shè)備房“蹲點(diǎn)”。把筆記本電腦連接在交換機(jī)端口上，打開Iris，界面顯示(如圖1)。
 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
