应用分析 - 借助ARP诊断查找网络故障.doc

《应用分析 - 借助ARP诊断查找网络故障.doc》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、应用分析－借助ARP诊断查找网络故障一、ARP简介ARP为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。因为局域网的通信是基于MAC地址的，而更多的程序都是基于IP地址，这就要有IP到MAC的映射了。IP数据包常通过以太网发送。以太网设备并不识别32位IP地址：它们是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。“地址解析”就是主机在发送帧前将

2、目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。ARP工作时，送出一个以太网广播包，目的地主机以一个含有IP和以太网地址对的数据包作为应答。如果请求包和回应包的数量相差太大，这是不正常的。二、应用分析在科来网络分析系统6.0的诊断设置中，ARP也被单独列出，有ARP太多无请求应答、ARP扫描、ARP请求风暴。如图1，（图1在科来网络分析系统6.0中ARP诊断设置的相关信息）在图1中，我们可以看到科来网络分析

3、系统6.0中诊断中的关于ARP的一些信息设置情况。我们使用科来网络分析系统6.0对捕获到的数据进行分析诊断，从专家诊断视图可以看到网络的诊断信息，如图2，（图2科来网络分析系统6.0的诊断视图的ARP信息）图2中，我们可以看出网络中存在故障，出现ARP太多无请求应答和ARP请求风暴，这是不正常的。我们可以在诊断视图下面的事件信息中知道故障的源和目标，并且定位源和目标。在图2中，看到的源是00:20:ED:AA:0D:04，我们定位到源，查看数据包视图，如图3从图3中，我们可以看到几乎都是00:20:ED:AA:0D:04发出了ARP请求广播包。我们再点击协议视图，

4、也看出ARP请求远远大于应答，如图4，（图4科来网络分析系统6.0协议视图中ARP协议的信息）从图3中，可以清楚的看到ARP协议的详细信息。ARP请求和应答相差太大，是正常网络不可能出现的。通过以上分析，我们可以知道MAC地址为00:20:ED:AA:0D:04的主机，可能存在ARP攻击，我们将该主机断网，再使用科来网络分析系统6.0来对网络进行分析，发现网络正常，然后单独对故障主机行进检查，故障解决。成都科来软件有限公司www.colasoft.com.cn2006年6月