帮忙看看这个网络的ARP有没有问题

oldhen · 发表于 2007-11-8 15:56:49

这个网络有没有问题呢？那么多个request配2个response算正常吗？

xinya225 · 发表于 2007-11-8 16:17:34

应该没什么问题吧
科来也没其实啊

lbzxy · 发表于 2007-11-8 16:30:30

从楼主提供的数据包来看，没什么问题。正常情况下，ARP的请求与响应是应该大致相等的。而且你只抓了大约40秒的时间，可以延长抓包时间再看看。

oldhen · 发表于 2007-11-8 17:25:53

我抓的这个包，很奇怪的一点，就是很多重复包。比如我一楼提供的数据里，一个arp request就重复了好几次，然后对应的arp response重复了2次。我又试着只抓本机的dns/http包，三次握手也出现这种情况（见下图），不知道这是我机器的问题，还是网络的问题，还是科来的问题？

lbzxy · 发表于 2007-11-9 09:35:53

楼主能传个数据包来看看吗？

oldhen · 发表于 2007-11-9 10:19:55

只采集本机的dns和http，访问本论坛

lbzxy · 发表于 2007-11-9 10:29:56

不好意思，刚才的分析不是很到位，现在又对数据包进行了仔细的分析，我觉得有以下的问题：
1、网络中存在一定程度的ARP扫描，源主机每隔十多二十毫秒就发一次请求，而目的主机可能还根本来不及应答；
2、源主机在得到应答后，间隔大约1秒，又发起一次请求，这样的主机有192.168.50.208，192.168.0.104，192.168.0.252等，请检查一下这几台主机是否在应用什么扫描软件或是病毒。

3、这样频繁的请求会占用网络的带宽以及耗费系统本身的资源，还是应该防患于未然。

oldhen · 发表于 2007-11-9 10:50:15

我就是觉得奇怪啊。这3台机器安装的程序都很少，也基本不可能中毒。不仅我采集的arp是这种情况，连采集http里的三次握手也是如此，好几个第一次握手，然后才是一两个第二次握手。。。这种现象会是什么原因呢？

lbzxy · 发表于 2007-11-9 11:18:19

从楼主提供的数据包来看，你的客户端肯定存在问题，请仔细检查一下，如192.168.4.224，TCP有太多的重传，从而导致产生该现象。

oldhen · 发表于 2007-11-9 11:33:32

192.168.4.224即我用于采集的笔记本。太多重传一般考虑哪些因素呢？

lbzxy · 发表于 2007-11-9 13:22:52

可能是由于网络负载过重，病毒或恶意攻击等。其实在科来的诊断视图里有关于故障事件的详细描述，楼主可以作为参考的。