近日某小區(qū)有用戶反映上網(wǎng)經(jīng)常出現(xiàn)掉線現(xiàn)象，而當(dāng)工程人員上門檢修時(shí)并未發(fā)現(xiàn)用戶所說的故障現(xiàn)象。后來幾天內(nèi)又多次接到該用戶電話反映故障，同時(shí)陸續(xù)接到該小區(qū)其他用戶反映有同類故障出現(xiàn)，這時(shí)感覺到了事態(tài)的嚴(yán)重性。
該小區(qū)有一百余戶住戶，采用光纖＋五類線入戶方式開通寬帶上網(wǎng)，一直比較正常，日常問題均是線路故障或用戶操作引起的問題。這次出現(xiàn)的問題影響到該小區(qū)的大部分用戶，故障出現(xiàn)的時(shí)間無任何規(guī)律性，并且往往又能自動(dòng)恢復(fù)正常。
并非病毒所致
因?yàn)橛卸鄠�(gè)用戶反映出現(xiàn)該故障，可以排除用戶的線路和機(jī)器故障的原因，根據(jù)以往經(jīng)驗(yàn)懷疑是某用戶機(jī)器中毒，開機(jī)后病毒發(fā)作發(fā)送大量數(shù)據(jù)包導(dǎo)致局域網(wǎng)通信擁塞使得用戶掉線。于是我們將一臺(tái)電腦安裝上Sniffer軟件后接入小區(qū)局域網(wǎng)，試圖找出中毒機(jī)器。經(jīng)過長時(shí)間觀測(cè)，并未發(fā)現(xiàn)有任何機(jī)器的連接數(shù)或發(fā)出的數(shù)據(jù)包異常增多，可仍有用戶在我們觀測(cè)時(shí)反映有掉線現(xiàn)象。
查找IP地址沖突點(diǎn)
我們分別更換了位于小區(qū)第一級(jí)的光纖收發(fā)器和交換機(jī)，問題仍沒有得到解決。既然小區(qū)局域網(wǎng)沒有發(fā)現(xiàn)問題，我們將目光轉(zhuǎn)向了位于機(jī)房?jī)?nèi)的匯聚交換機(jī)，懷疑接入該小區(qū)的端口性能不良，準(zhǔn)備更換端口。該小區(qū)接在一臺(tái)huawei－s3526的16號(hào)端口上，登錄到交換機(jī)上以后，看到出現(xiàn)下面一些提示信息：
%1/15/2006 18:32:30-SYSM-5-IP COLLISION:Rcv src IP 10.4.1.50 arped
00-00-6a-60-78-a3 By 00-03-47-52-43-10 resided in port 16
%1/15/2006 18:32:32-SYSM-5-IP COLLISION:Rcv src IP 10.4.1.42 arped
00-00-93-64-48-d2 By 00-03-47-52-43-10 resided in port 16
……
%1/15/2006 18:32:35-SYSM-5-IP COLLISION:Rcv src IP 10.4.1.26 arped
00-00-34-3d-20-65 By 00-03-47-52-43-10 resided in port 16
|
信息中提示出現(xiàn)IP地址沖突，顯示的端口號(hào)正是該小區(qū)的接入端口。莫非問題的結(jié)癥在這里？
仔細(xì)觀察，發(fā)現(xiàn)所有提示均表示一個(gè)MAC地址為00-03-47-52-43-10的機(jī)器與其他機(jī)器在IP地址與MAC地址轉(zhuǎn)換的過程中發(fā)生了沖突，即所有IP地址均被改成了與00-03-47-52-43-10地址相對(duì)應(yīng)。因?yàn)樵撔^(qū)用戶采用的是DHCP方式分配IP地址，通過認(rèn)證計(jì)費(fèi)系統(tǒng)查找MAC地址為00-03-47-52-43-10的用戶，到該用戶家與用戶進(jìn)行溝通，該用戶反映從未手動(dòng)更改過IP地址，上網(wǎng)一直很正常，日常使用中也未感覺到機(jī)器有何異樣。
我們?cè)谄錂C(jī)器上用Netstat等命令查看，也未發(fā)現(xiàn)有任何異常連接或過多連接，不同于一般機(jī)器中毒狀況。后經(jīng)與用戶協(xié)商斷開該用戶與樓棟交換機(jī)的連接，長時(shí)間觀察，小區(qū)不再有用戶反映掉線，看來掉線的確是由該用戶引起的。
木馬欺騙ARP緩存表
該現(xiàn)象應(yīng)該是軟件方面的問題。將該用戶機(jī)器硬盤拆下，掛接到另外一臺(tái)機(jī)器上進(jìn)行掃描殺毒，發(fā)現(xiàn)存在十余種病毒，通過查找資料，最終發(fā)現(xiàn)肇事者是一個(gè)隱藏在外掛中的木馬程序。通常來說，木馬程序僅僅竊取用戶的信息，而這個(gè)木馬為何會(huì)導(dǎo)致其他用戶掉線呢？
我們知道，用戶訪問因特網(wǎng)的數(shù)據(jù)包必須通過多次路由才能到達(dá)目的服務(wù)器，目的服務(wù)器返回用戶的數(shù)據(jù)包也必須通過多次路由才能回到用戶端。數(shù)據(jù)包路由的第一步是用戶機(jī)器上填寫的默認(rèn)網(wǎng)關(guān)，如果網(wǎng)關(guān)出現(xiàn)問題，那么用戶是無法上網(wǎng)的。默認(rèn)網(wǎng)關(guān)填寫的是IP地址，而用戶機(jī)器與網(wǎng)關(guān)通信時(shí)采用的是MAC地址，問題就發(fā)生在這里。
我們先了解一下ARP協(xié)議。
ARP協(xié)議是“Address Resoluti
on Protocol”（地址解析協(xié)議）的縮寫，在局域網(wǎng)中，網(wǎng)絡(luò)中實(shí)際傳輸?shù)氖恰皫�，幀里面有目�?biāo)主機(jī)的MAC地址。在以太網(wǎng)中，一個(gè)主機(jī)要和另一個(gè)主機(jī)進(jìn)行直接通信，必須要知道目標(biāo)主機(jī)的MAC地址。但這個(gè)目標(biāo)MAC地址是如何獲得的呢？它就是通過地址解析協(xié)議獲得的。所謂“地址解析”就是主機(jī)在發(fā)送幀前將目標(biāo)IP地址轉(zhuǎn)換成目標(biāo)MAC地址的過程。ARP協(xié)議的基本功能就是通過目標(biāo)設(shè)備的IP地址，查詢目標(biāo)設(shè)備的MAC地址，以保證通信的順利進(jìn)行。
采用以太網(wǎng)方式接入上網(wǎng)的電腦里都有一個(gè)ARP緩存表（見表1），表里的IP地址與MAC地址是一一對(duì)應(yīng)的。
