姜 濤

奇怪的網(wǎng)絡(luò)故障

姜 濤

廣播數(shù)據(jù)是計(jì)算機(jī)網(wǎng)絡(luò)通信的基礎(chǔ)，在硬件中，涉及集線器、交換機(jī)的工作原理，在軟件中涉及MAC，IP地址的獲取(ARP，RARP，DHCP協(xié)議)，PPPOE的發(fā)現(xiàn)過程，網(wǎng)絡(luò)共享的主機(jī)名(NETBIOS NAME SERVICE)等。廣播數(shù)據(jù)無處不在，無比重要，以太網(wǎng)如此高效，廣播數(shù)據(jù)功不可沒。但另一方面，每一個廣播數(shù)據(jù)包都要傳遍全網(wǎng)，數(shù)據(jù)包太多了又嚴(yán)重影響網(wǎng)絡(luò)速度，人們又想出VLAN以及路由等種種辦法來限制其數(shù)量、范圍，竭力維持一種高效的平衡，但稍不留意，平衡就會被打破。

某日清晨，一些教師反映不能上網(wǎng)了，網(wǎng)關(guān)都Ping不通，仔細(xì)觀察，電腦的網(wǎng)絡(luò)設(shè)置正確，連接指示也沒有大量的數(shù)據(jù)收發(fā)，網(wǎng)關(guān)ARP也未被修改，重啟后故障依舊。

教師機(jī)的軟件方面似乎沒有問題，也不像被攻擊，是網(wǎng)卡損壞？但昨天還都正常工作，今天不應(yīng)該數(shù)臺同時壞。擬先抓包分析，再定對策。

將教師機(jī)網(wǎng)線插入，啟動科來網(wǎng)絡(luò)分析系統(tǒng)，不到一分鐘，就抓到很多數(shù)據(jù)。

可以看出，網(wǎng)絡(luò)內(nèi)充斥著大量的廣播數(shù)據(jù)，高峰時每秒近4萬個包，這是一個不正常的 地方，第一反應(yīng)是很有可能被DDOS攻擊。

但看到協(xié)議統(tǒng)計(jì)后發(fā)現(xiàn)，量最大的是一種平時流量很少的NetBIOS廣播數(shù)據(jù)，這種協(xié)議常見于WIN2K以前的網(wǎng)絡(luò)應(yīng)用中，現(xiàn)在的網(wǎng)絡(luò)程序一般采用WinSOCK接口，很少使用NetBIOS接口了，許多網(wǎng)絡(luò)中甚至都禁用了NetBIOS。這又是一個不正常的地方。是可能有古老的NetBIOS程序在進(jìn)行拒絕攻擊嗎？

由于校園網(wǎng)已經(jīng)劃分了VLAN，而VLAN的主要作用就是隔離這種廣播數(shù)據(jù)包，所以可以肯定這種數(shù)據(jù)包出自本地子網(wǎng)節(jié)點(diǎn)中，查看數(shù)據(jù)包內(nèi)容，發(fā)現(xiàn)數(shù)據(jù)均為同一臺電腦所發(fā)送，根據(jù)MAC，輕易定位到問題源，將其關(guān)機(jī)。

[1] C.ZACKER.TCP/IP網(wǎng)絡(luò)管理[M].北京：中國水利水電出版社，1999

[2] 高彥剛.實(shí)用網(wǎng)絡(luò)流量分析技術(shù)[M].北京：電子工業(yè)出版社，2009

稿件編號：P1104100

姜濤，中教高級，教研組長。

河南省安陽市第八中學(xué)。

本以為問題將暫時解決，待隨后再分析原因。但此時竟然發(fā)現(xiàn)子網(wǎng)內(nèi)還是不通，頻密的數(shù)據(jù)包仍源源不斷地流通，將帶寬耗盡。是有程序在利用虛構(gòu)的MAC地址進(jìn)行攻擊嗎？如果這樣就很難定位數(shù)據(jù)源了。仔細(xì)分析數(shù)據(jù)包，終于發(fā)現(xiàn)了問題所在，有大量IP標(biāo)識相同的數(shù)據(jù)。IP標(biāo)示為5618和5616的NetBIOS名字服務(wù)廣播包重復(fù)出現(xiàn)了2次。這意味著什么呢？

我們知道，在IP協(xié)議中，每個數(shù)據(jù)包IP數(shù)據(jù)頭內(nèi)第一個標(biāo)識位的值應(yīng)該是唯一的，即系統(tǒng)在發(fā)出數(shù)據(jù)時，對每個數(shù)據(jù)包連續(xù)遞增編號，用來讓對方以正確的順序重組數(shù)據(jù)。數(shù)據(jù)包的標(biāo)識相同，說明某些廣播數(shù)據(jù)包完成使命后沒有正常消失，而是重新被發(fā)回到了網(wǎng)絡(luò)中，致使類似數(shù)據(jù)越來越多，阻塞了網(wǎng)絡(luò)。這種現(xiàn)象一般是由于網(wǎng)絡(luò)環(huán)路所引起，應(yīng)檢查交換機(jī)是否存在環(huán)路。

仔細(xì)檢查該VLAN的交換機(jī)及上聯(lián)的交換機(jī)，終于發(fā)現(xiàn)在上聯(lián)的交換機(jī)中除了原有的級聯(lián)線外又被接了一根級聯(lián)線。拔掉后重啟交換機(jī)，網(wǎng)絡(luò)故障排除，大家又可以正常上網(wǎng)了。

網(wǎng)絡(luò)環(huán)路是一種技術(shù)很低級、后果很嚴(yán)重的錯誤。校園網(wǎng)以前一直能正常運(yùn)行，怎么會突然出現(xiàn)這種錯誤呢？

后經(jīng)詢問得知，電腦公司工人前一日為一臺新入網(wǎng)電腦做網(wǎng)線頭，做完后發(fā)現(xiàn)有一根網(wǎng)線頭垂在外邊，以為是交換機(jī)上的網(wǎng)線意外脫離了，就好心地找了個空口插了進(jìn)去，其實(shí)那是根備用網(wǎng)線。

目前可網(wǎng)管的較高檔交換機(jī)均支持STP(生成樹協(xié)議)，在該協(xié)議作用下，即便交換機(jī)間形成復(fù)雜的環(huán)路，交換機(jī)仍會自動選擇一條通路，而封閉其他冗余路徑，這樣就不會出現(xiàn)廣播風(fēng)暴，仍能正常工作。但絕大多數(shù)交換機(jī)的STP協(xié)議狀態(tài)缺省是關(guān)閉的，需手工打開方起作用。

措施：將所有交換機(jī)上連接的網(wǎng)線進(jìn)行全面排查，暫時用不到的多余線一律妥善收好；凡是支持STP協(xié)議的交換機(jī)，將其協(xié)議狀態(tài)打開，避免類似情況再次發(fā)生。

經(jīng)過一番努力，網(wǎng)絡(luò)終于又恢復(fù)正常，但回頭一想，頗生感慨：布網(wǎng)時，為防萬一，大家都喜歡留根備用線，但平時不用時把它收好了嗎？交換機(jī)支持STP協(xié)議嗎？開啟了嗎？如果沒有，趕快想對策吧。投資幾十萬、上百萬的網(wǎng)絡(luò)，但卻頂不住一根小小的線頭。