對網(wǎng)絡(luò)管理員或用戶來說，發(fā)生“IP地址沖突”是不受歡迎的事情，因為在一個網(wǎng)絡(luò)中，每個主機(嚴格來說是網(wǎng)絡(luò)接口)都應(yīng)該有唯一的一個IP地址，如果出現(xiàn)2個或兩個以上主機使用相同的IP地址，這些使用相同IP地址的主機屏幕會彈出對話框報告IP地址沖突(如下圖):
這將導(dǎo)致這些使用相同IP的機器不能正常訪問網(wǎng)絡(luò)。但是，前幾天筆者卻用這個有如雞肋的功能幫了一個大忙。是怎么一回事呢?聽我慢慢道來。
本月12號那天，我被派到月壇大廈的客服部門處理網(wǎng)路故障。經(jīng)初步診斷，發(fā)現(xiàn)網(wǎng)絡(luò)時斷時續(xù)，重啟網(wǎng)關(guān)的話，能夠正常好一會，過一段時間后就不靈了。這是一個十分簡單的網(wǎng)絡(luò):一條外網(wǎng)網(wǎng)線進來，接入一臺運行FreeBSD的網(wǎng)關(guān)(做NAT用)，網(wǎng)關(guān)機的另外一個網(wǎng)絡(luò)接口接交換機，客戶端全部接2個在交換機上，同時，網(wǎng)關(guān)機提供DHCP服務(wù)，所有的客戶機使用DHCP自動獲取IP。首先，我得確定故障發(fā)生在那里;重啟網(wǎng)關(guān)，發(fā)現(xiàn)客戶機能正常上網(wǎng)，但網(wǎng)關(guān)馬上提示DHCP請求超時的報警，除此而外看不出什么端倪，去客戶端查IP，發(fā)現(xiàn)獲取的IP地址正常，于是又懷疑是不是交換機有問題，等一會，發(fā)現(xiàn)故障又出現(xiàn)了，重啟一下交換機，網(wǎng)絡(luò)又正常了問題到底在哪里呢?一下犯暈了。
整理了一下思路，然后找了一臺客戶機(客戶機全是windows)，先ping一下網(wǎng)關(guān)，發(fā)現(xiàn)居然ping不通，ping網(wǎng)內(nèi)的另外一臺機器則正常，重啟網(wǎng)關(guān)再用客戶機ping 網(wǎng)關(guān)則正常，毫無疑問，網(wǎng)絡(luò)中了ARP欺騙病毒了。進系統(tǒng)目錄，發(fā)現(xiàn)c:下有幾個異常的文件，該名某個文件，居然不讓操作，運行命令 arp –a 發(fā)現(xiàn)多行arp請求，看來是病毒引起的網(wǎng)絡(luò)堵塞故障。不能把所有的機器都與網(wǎng)絡(luò)段掉，當(dāng)務(wù)之急是先找出當(dāng)前正在作崇的主機然后隔離處理。
怎么辨別是網(wǎng)絡(luò)中那臺主機中毒厲害呢?網(wǎng)上已經(jīng)有很多不錯的辦法。有人建議用抓包工具，然后分析抓到的包信息來確認中毒的主機，然而我手里沒有任何抓包工具，看來只好自己想招了。經(jīng)過摸索，總結(jié)了下面一些行之有效的辦法，供大家參考!
在客戶機運行路由跟蹤命令如 tracert –d www.163.com,馬上就發(fā)現(xiàn)第一條不是網(wǎng)關(guān)機的內(nèi)網(wǎng)ip，而是本網(wǎng)段內(nèi)的另外一臺機器的IP，再下一跳才是網(wǎng)關(guān)的內(nèi)網(wǎng)IP;正常情況是路由跟蹤執(zhí)行后的輸出第一條應(yīng)該是默認網(wǎng)關(guān)地址，由此判定第一跳的那個非網(wǎng)關(guān)IP 地址的主機就是罪魁禍?zhǔn)住?/p>
問題又出來了，由于網(wǎng)內(nèi)的主機IP地址是通過DHCP自動獲取來的，怎么找出這個主機又是一個難題，幾十個機器，挨個用 ipconfig/all查非累死不可，怎么辦?得走捷徑才行。突然之間冒出一個念頭:設(shè)置一個與查出來的中毒主機相同的IP地址，然后…..，接下來，找一臺客戶端機器，查一下其自動獲取的IP地址，沒有那么幸運-這臺機器不是要揪出來的那個IP，然后把這個主機的”自動獲取IP地址”取消，手動設(shè)置機器的IP與有病毒的那個IP相同，設(shè)置生效后就聽見一個妹妹嚷道:“我的IP地址怎么跟別人沖突了呢?”，殊不知，我要找的就是你呢!把妹妹的主機隔離網(wǎng)絡(luò)，其他的機器上網(wǎng)立馬就順暢了。
處理arp病毒的操作我想大家都應(yīng)該有經(jīng)驗了，在這里就不再多羅嗦。
簡單總結(jié)一下，其主要步驟有兩步:1、運行 tracert –d www.163.com 找出作崇的主機IP地址。 2、設(shè)置與作崇主機相同的IP，然后造成IP地址沖突，使中毒主機報警然后找到這個主機。
原文地址：http://sery.blog.51cto.com/blog/10037/7202
責(zé)任編輯 趙毅 zhaoyi@51cto.com TEL:（010）68476636-8001
