某电业局网络故障诊断案例分析93856.docx

《某电业局网络故障诊断案例分析93856.docx》由会员分享，可在线阅读，更多相关《某电业局网络故障诊断案例分析93856.docx（7页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、案例分析 某电业局网络络故障诊断断一、 故障描述故障地点：某电业局故障现象：网络严重阻阻塞，内部主机机上网甚至至内部主机机间的通讯讯均时断时时续。故障详细描描述：网络突然出出现通讯中中断，某些些VLANN不能访问问互联网，且与其它VLAN的访问也会出现中断，在机房中进行ping包测试，发现中心交换机到该VLAN内主机的ping包响应时间较长，且出现间歇性丢包，VLAN与VLAN间的丢包情况则更加严重。二、 故障详细分分析1. 前期分析初步判断引引起问题的的原因可能能是：l 交换机ARRP表更新新问题l 广播或路由由环路故障障l 人为或病毒毒攻击需要进一步步获取的信息：l 网络拓扑结结构及正常常

2、工作时的的情况l 交换机ARRP表信息及交换机负负载情况l 网络中传输输的原始数数据包2. 具体分析首先，我们们从网络管管理员那儿儿，得知了网络络中主机共共450台左右，同同时得到了了网络的简简单拓扑图图，如图1所示。（图1网网络原始拓拓扑简图）从图1可以以知道，网网络中划分分了6个VLAN，分别是10.2230.2201.00/24、10.2230.2202.00/24、10.2230.2003.0/24、10.2230.2204.00/24、10.2230.2205.00/24、10.2230.2206.00/24、，其中201205这5个VLAN分别用用于一个部部门，而206为服务器专用

3、用网段。各VLAN同时连接接上中心交交换机（Passsportt 80110），中心交换换机再连接接到防火墙墙，由防火火墙连接到到Inteernett以及省单单位。大致了解了了网络拓扑扑后，我们们以超级终终端方式登登录中心交交换机，发发现交换机机的负载较较大，立即即清除交换机机ARP表并重启，但故障仍然存存在，于是是我们决定定对网络进进行抓包分分析。在中心交换换机（Passsport 88010）上配置置好端口镜镜像（具体体配置信息息，略），并将将安装科来来网络分析析系统的笔笔记本接到到中心交换换机的镜像像口上，安装好后后网络的拓拓扑简图如如图2所示。（图2安安装科来网网络分析系系统后的网网络

4、拓扑简简图）由于科来网网络分析系系统可以跨跨VLANN对数据进进行捕获分分析，所以以在中心交交换机上接接入安装科科来网络分分析系统的的笔记本后后，网络的的拓扑结构构并未发生生任何改变变。打开笔记本本上的科来来网络分析析系统，捕捕获数据包包约1分钟（捕获获停止后发发现确切时间是53秒）后停止止捕获，并并对捕获到到的数据通通讯进行分分析。将节点浏览览器定位到到物理端点点下的本地地网段，我们发现MAC地址为000:00:E8:440:444:99的的主机，下下面共有40个IP地址，如图图3。（图3定定位本地网网段的端点点视图）我们知道，在在正常情况况下，一个个MAC地址下面面出现多个个IP地址，只只

5、可能有以以下几种情情况之一：网关、代代理服务器器、手动绑绑定多个IP地址。咨咨询网络管管理员得知知，该网段段内的机器器均只绑定定了一个MAC地址，且且没有代理理服务器，同同时该MAC也不是网网关MAC地址，由由此，我们们怀疑，该该主机可能能存在欺骗骗攻击。右键单击图图3中的00:00:EE8:400:44:99节点点，在弹出出的菜单中中选择“定位浏览览器节点(L)”命令，将节点点浏览器中中定位到000:000:E8:40:444:999。查看协协议视图，发现该节点主动发起了22613个ARP回复数据包，而ARP请求数据包只有2个，如图4所示。（图4000:000:E8:40:444:999主机

6、通讯讯的协议分分布）从图4下面面的数据包包可以知道道，00:00:EE8:400:44:99主动动向网络中中的其它主主机发出ARP回复数据据包，内容容是告诉对对方主机，自自己是某个个IP的主机，而而这个IP在不断地地变化。由由此可以断断定，MAC地址为000:00:E8:440:444:99的的机器在进进行ARP欺骗。同时，诊断断视图的ARP诊断事件件区时，也给给出了相应应的提示信信息，如图图5。（图5000:000:E8:40:444:999的ARP诊断信息息）经过上面的的分析，我我们确定000:000:E8:40:444:999存在ARP欺骗攻击击，网管人人员立刻开开始查找该该主机，由由于

7、他们以以前做了IP与MAC地址的统统计表，所所以很轻松松地就找到了了该机器。在二层交换机上拨掉该主机的网线，网络很快恢复正常，VLAN间的内部访问和外部访问（包括Internet和省网单位）速度均恢复正常。另外，从图图3的显示可知知，00:02:BB0:BCC:68:D2、00:00B:DBB:4B:46:81、00:111:255:8D:7D:CC1 三台机器器占用的流流量较大，通过查看这几台机器的具体流量后，发现00:02:B0:BC:68:D2和00:0B:DB:4B:46:81在互相进行数据拷贝，而00:11:25:8D:7D:C1对应的IP地址是10.230.204.1，它是10.2

8、30.204.0/24网段的网关，占用较量较大属于正常情况。由此基本断定网络时断时续的根源即前面找出的00:00:E8:40:44:99主机。找出故障点点，并帮助助网络恢复复正常后，我们因为其它的事情离开了现场，并未去排查00:00:E8:40:44:99的具体情况。下午接到电电业局网管管人员的电电话，告知知在找到MAC地址为000:00:E8:440:444:99的的主机时，该用户仅在在使用WORDD进行文档档编辑，并并未人为的的进行攻击击，然后安装装防病毒软软件并对该该主机进行行查杀，查出出病毒若干，病毒查杀杀后，再次将该该主机接入入网络，网网络通讯仍仍然正常。由此得出引发网络故障的原因是

9、MAC地址为00:00:E8:40:44:99的主机感染蠕虫病毒，该病毒自动进行ARP欺骗攻击，导致网络访问的时断时续。三、 总结中大型网络络中，网络络故障错综综复杂，不不借助专业业网络分析析工具的情情况下，很难对对故障进行行排查，如如本例中，如果不对数据包进行捕获，即使在交换机上查看流量，由于00:00:E8:40:44:99的流量并不特别大，所以我们也很难找到故障点。同时，由于于此次捕获获数据包的的时间较短短，仅仅只只有53秒，所以以网络中可可能还存在在一些未被被检测出问问题的主机机（这些主主机当前未未启动，不不会收发相相应数据包包，故无法法查找）。所以，对于企业的网络运行，需要网络管理人员使用专用的网络分析工具，对网络进行长期有效的监测和分析，才可以最大程度地排除可能的网络故障和网络安全威胁。成都科来软软件有限公公司