检测不到ARP攻击的网关劫持？

badboycc

网络故障现象：局域网网络缓慢，甚至不能上网，或者部分组不能上网。
  1、可以ping通网关而且不掉包时，也不能正常上网；在 ping不通网关时，使用 nmap -P0(P零)命令，或者使用nmap＋其他特别的参数，可以检测到网关路由器是开机的。
  2、部分工作站，偶尔切换IP地址或者更改MAC地址可以暂时恢复正常；
  3、还有个奇怪的现象：在工作站安装vpc虚拟机，并使用“物理网卡上网方式”，有时候，在宿主机不能上网的情况下，虚拟机确可以上 网。虚拟机里上网一般是“延时后迅速”，强烈感觉到可能通过某机器中转，但不知道如何捕获证据。
  4、工作站安装APR防火墙，或者欣向ARP检测工具等，都检测不到ARP攻击。
  5、开启科来分析，诊断里面提示网关有IP地址冲突，该冲突MAC于网关MAC一致，而且并未检测到其他IP使用该MAC。
  6、广播包FF:FF:FF:FF:FF比较多，对应的还是网关MAC,郁闷！
  7、科来有时候提示安装部署正确，多数提示只能接收本机和广播包
  
   请大家给予分析，谢谢！

[ 本帖最后由 badboycc 于 2008-4-25 12:21 编辑 ]

oldjiang

1、网关是一个LINUX机器？他的ARP包0.1秒一个，是否开启了防ARP功能？
2、你抓到的都是广播包，部署应该不对
3、这个地址有两个IP？

badboycc

3、这个地址有两个IP？
是虚拟机来的。