前一段時間，總部的同事告訴我無線網(wǎng)不能用了，發(fā)現(xiàn)獲取不到IP了，登錄到DHCP服務(wù)器查看，發(fā)現(xiàn)DHCP服務(wù)器出故障了，具體的故障現(xiàn)象如下圖，出現(xiàn)大量bad_adddress迅速占滿DHCP的地址池。

讓客戶滿意是我們工作的目標(biāo)，不斷超越客戶的期望值來自于我們對這個行業(yè)的熱愛。我們立志把好的技術(shù)通過有效、簡單的方式提供給客戶，將通過不懈努力成為客戶在信息化領(lǐng)域值得信任、有價值的長期合作伙伴，公司提供的服務(wù)項目有：國際域名空間、網(wǎng)頁空間、營銷軟件、網(wǎng)站建設(shè)、通川網(wǎng)站維護、網(wǎng)站推廣。

然后他自己抓了一份數(shù)據(jù)包讓我也幫忙分析一下。

我過濾了DHCP，重點觀察了下它的DHCP包。發(fā)現(xiàn)出現(xiàn)大量的DHCP Decline數(shù)據(jù)包。

在這里可能有人很少聽說DHCP Decline，簡單來說這個包的意思就是如果CLIENT發(fā)現(xiàn)DHCP SERVER分配的IP地址已經(jīng)被別人使用，則CLIENT會發(fā)出DHCP DECLINE報文通知DHCP SERVER禁用這個IP地址以免引起IP地址沖突，此時地址池就會顯示bad_address。

看來引起DHCP服務(wù)器癱瘓的原因就是這大量的Decline數(shù)據(jù)包了，現(xiàn)在要找到原因為什么會出現(xiàn)這么多Decline。

在此我找到一個decline詳細的分析了一下它前后的數(shù)據(jù)包，發(fā)現(xiàn)了下圖的整個DHCP流程。

上圖前4個包為標(biāo)準(zhǔn)的DHCP 4步。

數(shù)據(jù)包序列號917 963 964 997：顯示clinet的mac為8b07（截圖看不到）。8B07通過DHCP獲取到了一個172.18.56.189的IP。

數(shù)據(jù)包1092為：8b07獲取到189這個IP后執(zhí)行了一次arp請求確認189沒有人使用。

不過不巧的是數(shù)據(jù)包1173顯示：MAC地址為A053的終端說“不好意思，189這個IP我已經(jīng)用了”

此時數(shù)據(jù)包1178顯示：8B07認為DHCP給我的這個IP172.16.56.189已經(jīng)被別人用了,于是給服務(wù)器發(fā)送Decline。

繼續(xù)分析下一個Decline原因，發(fā)現(xiàn)同樣8B07又獲取到了一個新IP 172.18.46.190。而同樣A053的終端又說172.18.46.190我已經(jīng)用了??！看來這個A053有大問題。于是重點過濾了A053出現(xiàn)了下圖的情況

上圖看來很明顯了8B07不管獲取到了哪個地址A053都會回復(fù)我在用了，導(dǎo)致8B07發(fā)送了大量Decline使DHCP服務(wù)器地址池很快耗盡癱瘓。

解決方法：果斷登錄AC控制器把A053這個MAC拉黑。所有問題一下子全部解決了。

后續(xù)：猜測A053這個主機是中了ARP中毒，小小的一個ARP病毒竟然有這么大的影響。安全這一步省了就可能出現(xiàn)×××煩，要想做到盡可能的安全AP AC 交換機 服務(wù)器等都需要盡可能的嚴密策略。以后的博文我們可以再詳細談?wù)劇?/p>

分享名稱：找出讓DHCP服務(wù)器癱瘓的兇手
瀏覽地址：http://jinyejixie.com/article12/pshcdc.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站制作、Google、標(biāo)簽優(yōu)化、商城網(wǎng)站、外貿(mào)網(wǎng)站建設(shè)、App開發(fā)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)