内网爆发ARP ORZ伤不起

鹤翔天空

今天上午10点被电话吵醒。我们的一个客户单位说服务器到网关不通了都，第一反应ARP病毒爆发。到达现场，通过在设备上dis arp（设备为h3c s5600）发现问题ip 10.35.134.48 的mac为001122334455 真实的mac肯定不是这个，并且把服务器关机，该ip依旧可以ping通。在核心上做了arp static发现。根本没有用啊。因为核心下面还有交换机，都是些dlink的。服务器根本无法与核心通讯。各种无法搞。。。。怎么办

lin0131

有可能是ARP伪装，装个ARP专杀工具，先查下ARP的源端口，关闭端口，再在端口下排查。

紫川凌

找到源头  扼杀了。。。。

鹤翔天空

lin0131 发表于 2012-11-24 20:58
有可能是ARP伪装，装个ARP专杀工具，先查下ARP的源端口，关闭端口，再在端口下排查。

明天上班，一台台装ARP防火墙

victor_huang

DHCP和ARP检测相结合，杜绝ARP。