网络分析学习资料
借助ARP诊断查找网络故障
一、 ARP简介
ARP为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。因为局域网的通信是基于MAC地址的，而更多的程序都是基于IP地址，这就要有IP到MAC的映射了。IP数据包常通过以太网发送。以太网设备并不识别32位IP地址：它们是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。ARP工作时，送出一个以太网广播包，目的地主机以一个含有IP和以太网地址对的数据包作为应答。如果请求包和回应包的数量相差太大，这是不正常的。
二、 应用分析
在科来网络分析系统的诊断设置中，ARP也被单独列出，有ARP太多无请求应答、ARP扫描、ARP请求风暴。如图1，
图1 在科来网络分析系统中ARP诊断设置的相关信息
在图1中，我们可以看到科来网络分析系统中诊断中的关于ARP的一些信息设置情况。
我们使用科来网络分析系统对捕获到的数据进行分析诊断，从专家诊断视图可以看到网络的诊断信息，如图2，
图2 科来网络分析系统的诊断视图的ARP信息
图2中，我们可以看出网络中存在故障，出现ARP太多无请求应答和ARP请求风暴，这是不正常的。我们可以在诊断视图下面的事件信息中知道故障的源和目标，并且定位源和目标。
在图2中，看到的源是00:20:ED:AA:0D:04，我们定位到源，查看数据包视图，如图3，
图3
从图3中，我们可以看到几乎都是00:20:ED:AA:0D:04发出了ARP请求广播包。
我们再点击协议视图，也看出ARP请求远远大于应答，如图4，
图4 科来网络分析系统协议视图中ARP协议的信息
从图3中，可以清楚的看到ARP协议的详细信息。ARP请求和应答相差太大，是正常网络不可能出现的。
通过以上分析，我们可以知道MAC地址为00:20:ED:AA:0D:04的主机，可能存在ARP攻击，我们将该主机断网，再使用科来网络分析系统来对网络进行分析，发现网络正常，然后单独对故障主机行进检查，故障解决。