網(wǎng)絡(luò)故障分析報(bào)告

一、1XXXX轉(zhuǎn)5故障現(xiàn)象描述

該網(wǎng)絡(luò)有9臺(tái)計(jì)算機(jī)，采用一臺(tái)S3XXX通過迎賓苑S8XXX接入DCN網(wǎng)絡(luò)，在今天出現(xiàn)個(gè)別機(jī)器斷網(wǎng)的現(xiàn)象，具體現(xiàn)象為隔一段時(shí)間就有一臺(tái)或幾臺(tái)機(jī)器DCN網(wǎng)絡(luò)中斷，重啟或者拔掉網(wǎng)線再接上恢復(fù)正常。

二、網(wǎng)絡(luò)故障分析及定位

從上面描述的故障現(xiàn)象來看，問題似乎與S3XXX下9臺(tái)計(jì)算機(jī)有關(guān)（在此前聯(lián)系馬曉偉從高科技機(jī)房測(cè)試無(wú)丟包、斷線等現(xiàn)象，網(wǎng)絡(luò)正常）。

為了首先恢復(fù)業(yè)務(wù)的正常使用，對(duì)S3XXX做了如下操作。

1、因?yàn)樽蛱靹倧拇薙3XXX上21口開LAN業(yè)務(wù)供9XXXX做互聯(lián)星空測(cè)試使用，所以懷疑是否21口上網(wǎng)有病毒感染到局域網(wǎng)。首先對(duì)S3XXX各個(gè)端口做了端口隔離，做完之后故障現(xiàn)象依舊。

2、由于做端口隔離故障依舊，而計(jì)算機(jī)都是上一會(huì)就斷，重啟后又可以上網(wǎng)，和馬曉偉聯(lián)系后懷疑為ARP地址欺騙攻擊，建議做端口綁定操作。隨后對(duì)4號(hào)機(jī)1號(hào)機(jī)做端口綁定（做完這兩個(gè)筆記本沒電了，在給筆記本充電過程中對(duì)網(wǎng)絡(luò)進(jìn)行觀察）。

3、從19：00-20：00計(jì)算機(jī)網(wǎng)絡(luò)使用正常沒有發(fā)生過斷線情況，同時(shí)對(duì)4號(hào)機(jī)進(jìn)行病毒查殺，通過卡巴斯基查到兩個(gè)病毒，一個(gè)是木馬程序Trojan_Downloader.JSIstBar.aj，另一個(gè)是蠕蟲病毒。

三、對(duì)故障現(xiàn)象的解釋

S3XXX下計(jì)算機(jī)剛開機(jī)上網(wǎng)正常，一段時(shí)間后發(fā)生斷線情況，重啟或重新拔插網(wǎng)線后正常。

現(xiàn)象解釋：“ARP欺騙”類病毒在局域網(wǎng)中屢有發(fā)現(xiàn)，具體表現(xiàn)為，當(dāng)局域網(wǎng)中一臺(tái)計(jì)算機(jī)感染了這類ARP病毒或木馬后，會(huì)不定期的發(fā)送偽造的ARP響應(yīng)數(shù)據(jù)報(bào)文和廣播報(bào)文。受感染的電腦發(fā)出的這種報(bào)文會(huì)欺騙所在網(wǎng)段的其他電腦，對(duì)其他電腦宣稱自己的`mac就是網(wǎng)關(guān)的mac，對(duì)實(shí)際的網(wǎng)關(guān)說其他電腦ip的mac就是自己的mac，這樣網(wǎng)關(guān)（交換機(jī)或路由器）無(wú)法學(xué)習(xí)到上網(wǎng)主機(jī)的mac，更新不了網(wǎng)關(guān)arp表，就無(wú)法轉(zhuǎn)發(fā)數(shù)據(jù)幀。電腦中毒后會(huì)向同網(wǎng)段內(nèi)所有計(jì)算機(jī)發(fā)送ARP欺騙包，導(dǎo)致網(wǎng)絡(luò)內(nèi)其他電腦因網(wǎng)關(guān)物理地址被更改而無(wú)法上網(wǎng)，被欺騙電腦的典型癥狀就是剛開機(jī)能上網(wǎng)，幾分鐘后斷網(wǎng)，過一會(huì)又能上，或者重啟一遍電腦就可以上網(wǎng)，一會(huì)又不好了，如此重復(fù)不斷，影響正常使用。