网络分析学习资料

借助ARP诊断查找网络故障

一、    ARP简介

ARP为地址解析协议,它工作在数据链路层,在本层和硬件接口联系,同时对上层提供服务。因为局域网的通信是基于MAC地址的,而更多的程序都是基于IP地址,这就要有IP到MAC的映射了。IP数据包常通过以太网发送。以太网设备并不识别32位IP地址:它们是以48位以太网地址传输以太网数据包的。因此,IP驱动器必须把IP目的地址转换成以太网目的地址。在以太网中,一个主机要和另一个主机进行直接通信,必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢?它就是通过地址解析协议获得的。“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址,查询目标设备的MAC地址,以保证通信的顺利进行。

在局域网中,网络中实际传输的是“帧”,帧里面是有目标主机的MAC地址的。ARP工作时,送出一个以太网广播包,目的地主机以一个含有IP和以太网地址对的数据包作为应答。如果请求包和回应包的数量相差太大,这是不正常的。

二、    应用分析

在科来网络分析系统的诊断设置中,ARP也被单独列出,有ARP太多无请求应答、ARP扫描、ARP请求风暴。如图1,

图1   在科来网络分析系统中ARP诊断设置的相关信息

在图1中,我们可以看到科来网络分析系统中诊断中的关于ARP的一些信息设置情况。

我们使用科来网络分析系统对捕获到的数据进行分析诊断,从专家诊断视图可以看到网络的诊断信息,如图2,

图2    科来网络分析系统的诊断视图的ARP信息

图2中,我们可以看出网络中存在故障,出现ARP太多无请求应答和ARP请求风暴,这是不正常的。我们可以在诊断视图下面的事件信息中知道故障的源和目标,并且定位源和目标。

在图2中,看到的源是00:20:ED:AA:0D:04,我们定位到源,查看数据包视图,如图3,

图3

从图3中,我们可以看到几乎都是00:20:ED:AA:0D:04发出了ARP请求广播包。

我们再点击协议视图,也看出ARP请求远远大于应答,如图4,

图4    科来网络分析系统协议视图中ARP协议的信息

从图3中,可以清楚的看到ARP协议的详细信息。ARP请求和应答相差太大,是正常网络不可能出现的。

通过以上分析,我们可以知道MAC地址为00:20:ED:AA:0D:04的主机,可能存在ARP攻击,我们将该主机断网,再使用科来网络分析系统来对网络进行分析,发现网络正常,然后单独对故障主机行进检查,故障解决。

购买咨询

您的姓名 : *

联系方式 : *

您的邮箱 : *

您的职位 : *

公司全称 : *

公司地址 : *

网络规模 : *

咨询产品: *

购买用途 : *

补充留言: