快速定位ARP 让局域网不再断线

　　1、网络现象

　　最近，公司局域网出现了大面积的主机间歇性的频繁断线故障。有时能够很快自动恢复连接，但有时要长达好几分钟。由于公司的很多业务需要多人在线协作完成，另外，公司局域网的视频点播系统对网络的连通性要求很高。因此，虽然只有几分钟的掉线，但是对公司的正常业务影响很大。 网管下载dl.bitscn.com

　　笔者先从最可能造成此故障的的物理链路入手检测，通过专业工具的检测没有发现异常。排除硬件故障，那么最有可能是病毒作祟了。局域网中最邪恶的病毒首推ARP了，它往往会造成莫名其妙的网络故障。而且，本例中的网络故障症状极似ARP攻击，因此把重点放在定位ARP源上。对于ARP攻击，常规办法是很难准确判断和定位的，于是笔者决定利用网络分析软件(科来网络分析软件)对局域网中的数据流进行抓包分析。

中国网管论坛bbs.bitsCN.com

　　因为网络抓包要在中心交换机上进行，所以为了方便大家理解，笔者绘制了公司的网络拓扑图，见图1。　　 网管网www.bitscn.com

  网管bitscn_com

网管网www_bitscn_com

　　图1

网管下载dl.bitscn.com

    
    2. 抓包及分析

网管u家u.bitsCN.com

　　首先，笔者将交换机做好端口镜像设置，然后把安装有“科来网络分析系统”的笔记本电脑接入镜像端口，抓取网络的所有数据进行分析。抓包时间20分钟，抓包完毕然后通过软件的“诊断”视图我们可以得出分析结果：诊断视图提示有太多“ARP无请求应答”见图2。这说明在局域网中有很多ARP应答包，应答包的数量远远大于请求包的数量。在网络中充斥着大量的ARP应答包，占用了网络带宽，造成网络拥堵，使得局域网断线频频。　　

网管联盟bitsCN_com

  网管u家u.bitsCN.com

中国网管联盟bitsCN.com

网管论坛bbs_bitsCN_com

　　图2 网管下载dl.bitscn.com