ARP风暴，请帮忙分析一下

sundrink3 · 发表于 2011-11-1 08:35:07

本单位的网络结构：一路由接一主交换机（傻瓜自适应式），再分接各分交换机，都是自适应的，很简单的网路，我在路由和交换机之间接hub抓的包，本机IP是192.168.10.107，抓了的包一看有大量的ARP扫描还有请求，其中192.168.10.21的ARP包很大，而且源IP和目的IP都是自己，192.168.10.48也是一样，192.168.10.147的arp包则是针对网关192.168.10.1，请高手帮分析一下为什么会这样，会自己给自己发ARP包，还那么多，以致网路中断，在此感激

ARP.rar (649.39 KB, 下载次数: 53)

steve-zhu · 发表于 2011-11-1 10:04:10

你的网络有环路，先找找哪的线接的不对，把环路解决了再看看ARP有多少。另外，ARP源和目标都是自己叫免费ARP，有些ARP防火墙用这个来通告自己的Mac，不一定是攻击。
2011-11-1 9-49-04.png

3195884 · 发表于 2011-11-2 01:33:11

你的网络有环路，先找找哪的线接的不对，把环路解决了再看看ARP有多少。另外，ARP源和目标都是自己叫免费ARP，有些ARP防火墙用这个来通告自己的Mac，不一定是攻击。
17297
steve-zhu 发表于 2011-11-1 10:04

我是一个新手看了你的回答想问一个问题：环路不是TTL依次减小吗可是看那些包TTL好象全部是一不知道我问的对不对希望不吝赐教

steve-zhu · 发表于 2011-11-2 09:38:35

我是一个新手看了你的回答想问一个问题：环路不是TTL依次减小吗可是看那些包TTL好象全部是一不知道我问的对不对希望不吝赐教
3195884 发表于 2011-11-2 01:33

捕获TTL递减的报文是路由环路造成的，楼主网络中的环路是交换环路造成的。
由于交换机不支持STP导致报文在环路里重复传递，所以楼主捕获了很多IP标识相同的组播报文，交换机并不会更改IP TTL。

sundrink3 · 发表于 2011-11-2 11:48:27

学习了受用