前一段時間,總部的同事告訴我無線網(wǎng)不能用了,發(fā)現(xiàn)獲取不到IP了,登錄到DHCP服務(wù)器查看,發(fā)現(xiàn)DHCP服務(wù)器出故障了,具體的故障現(xiàn)象如下圖,出現(xiàn)大量bad_adddress迅速占滿DHCP的地址池。
然后他自己抓了一份數(shù)據(jù)包讓我也幫忙分析一下。
我過濾了DHCP,重點觀察了下它的DHCP包。發(fā)現(xiàn)出現(xiàn)大量的DHCP Decline數(shù)據(jù)包。
在這里可能有人很少聽說DHCP Decline,簡單來說這個包的意思就是如果CLIENT發(fā)現(xiàn)DHCP SERVER分配的IP地址已經(jīng)被別人使用,則CLIENT會發(fā)出DHCP DECLINE報文通知DHCP SERVER禁用這個IP地址以免引起IP地址沖突,此時地址池就會顯示bad_address。
看來引起DHCP服務(wù)器癱瘓的原因就是這大量的Decline數(shù)據(jù)包了,現(xiàn)在要找到原因為什么會出現(xiàn)這么多Decline。
在此我找到一個decline詳細的分析了一下它前后的數(shù)據(jù)包,發(fā)現(xiàn)了下圖的整個DHCP流程。
上圖前4個包為標準的DHCP 4步。
數(shù)據(jù)包序列號917 963 964 997:顯示clinet的mac為8b07(截圖看不到)。8B07通過DHCP獲取到了一個172.18.56.189的IP。
數(shù)據(jù)包1092為:8b07獲取到189這個IP后執(zhí)行了一次arp請求確認189沒有人使用。
不過不巧的是數(shù)據(jù)包1173顯示:MAC地址為A053的終端說“不好意思,189這個IP我已經(jīng)用了”
此時數(shù)據(jù)包1178顯示:8B07認為DHCP給我的這個IP172.16.56.189已經(jīng)被別人用了,于是給服務(wù)器發(fā)送Decline。
繼續(xù)分析下一個Decline原因,發(fā)現(xiàn)同樣8B07又獲取到了一個新IP 172.18.46.190。而同樣A053的終端又說172.18.46.190我已經(jīng)用了!!看來這個A053有大問題。于是重點過濾了A053出現(xiàn)了下圖的情況
上圖看來很明顯了8B07不管獲取到了哪個地址A053都會回復(fù)我在用了,導(dǎo)致8B07發(fā)送了大量Decline使DHCP服務(wù)器地址池很快耗盡癱瘓。
解決方法:果斷登錄AC控制器把A053這個MAC拉黑。所有問題一下子全部解決了。
后續(xù):猜測A053這個主機是中了ARP中毒,小小的一個ARP病毒竟然有這么大的影響。安全這一步省了就可能出現(xiàn)×××煩,要想做到盡可能的安全AP AC 交換機 服務(wù)器等都需要盡可能的嚴密策略。以后的博文我們可以再詳細談?wù)劇?/p>
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn,海內(nèi)外云服務(wù)器15元起步,三天無理由+7*72小時售后在線,公司持有idc許可證,提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機、免備案服務(wù)器”等云主機租用服務(wù)以及企業(yè)上云的綜合解決方案,具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價比高”等特點與優(yōu)勢,專為企業(yè)上云打造定制,能夠滿足用戶豐富、多元化的應(yīng)用場景需求。
本文題目:找出讓DHCP服務(wù)器癱瘓的兇手-創(chuàng)新互聯(lián)
文章出自:http://chinadenli.net/article40/cejseo.html
成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供網(wǎng)頁設(shè)計公司、網(wǎng)站內(nèi)鏈、網(wǎng)站策劃、外貿(mào)建站、企業(yè)建站、ChatGPT
聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時需注明來源: 創(chuàng)新互聯(lián)