防火墙arp攻击

arp攻击  时间:2021-01-30  阅读:()

知STP赵国卫2012-05-16发表某局点全网网络中断故障处理案例分析某局点全网网络中断故障处理案例分析某局点全网网络中断故障处理案例分析一、一、组网:组网:客户组网拓扑示意图如上,采用两台S7500E作为核心网关设备,两台S7500E之间采用聚合链路互联.
S7500E下联第三方防火墙,两台防火墙之间做热备,FW-M标示此防火墙为主,FW-S标示此防火墙为备,主备防火墙分别连接至两台S7500E设备,正常情况下,主防火墙上联到核心的端口转发数据,备用防火墙的上联端口处于阻塞状态不转发数据.
两台防火墙之间采用心跳来进行检测,当主用防火墙故障时,备用防火墙上联端口将快速切换到转发状态以保证数据的正常转发.
接入层采用我司的S3600和S5800交换机,都做纯二层转发,S3600下挂PC不经过防火墙,数据直接由核心转发出去,S5800下挂PC需要经过防火墙过滤之后才能转发数据.
S5800分别双上行连接至主备防火墙.
整网启用MSTP,都处于实例0,S7500E-1作为MSTP主根,S7500E-2作为MSTP备根.
二、二、问题描述:问题描述:客户反馈近期网络多次发生中断情况,具体现象是部分业务有中断情况,且业务中断面慢慢扩散,最后整网内业务呈现时通时断的现象,此时从S7500E无法telnet到S5800设备.
每次故障出现后,客户都是通过重启两台S7500E设备之后业务逐步恢复正常.

三、三、过程分析:过程分析:针对客户反馈每次出现网络故障都是重启S7500E之后恢复的,我们首先把排查重点放在核心的两台S7500E上,对其诊断信息进行了细致的分析,并没有发现设备存在软硬件的异常情况.
但设备的诊断信息里记录的一些MAC迁移的表项引起了我们的关注,MAC迁移表项即同一个MAC地址在短时间内学习到不同的端口,这往往是存在链路中断导致数据转发路径改变或者网络里产生环路的标志.
下面是我们从核心设备S7500E的诊断信息中发现的MAC迁移的记录.
L2MACMOVERecordINFO=MacAddressVlanAggModPort->AggModPortCntLatestTimeDel0:16:41:2d:bd:ba1000043->10033252011/8/216:11:4610:23:89:af:7f:eb248042->10033302011/8/216:11:4610:23:89:af:84:c2248045->10042011/8/216:11:4910:23:89:af:83:f0248042->010112011/8/216:11:4710:50:56:95:26:7510101->10062011/8/216:11:4910:23:89:af:83:99248045->100132011/8/216:11:5110:50:56:95:d:191100->0101122011/8/216:11:4910:e0:fc:3d:7f:5d248100->010132011/8/216:17:5910:e0:fc:30:52:ac248100->010162011/8/216:11:541其中两个MAC地址:0016-412d-bdba在端口G8/0/4和聚合组1之间迁移;0023-89af-7feb在端口G8/0/3和聚合1之间迁移,这两个MAC地址的迁移次数达到3000多次,这个是比较明显的环路的特征.
对这两个MAC进行查询发现,这两个MAC地址的设备都是直接连接在75E-1的slot8槽位,而且都是单链路上行,正常情况下,MAC地址不可能学习到75E-1和75E-2之间的聚合链路上,从拓扑上来看,环路可能会产生在如下图中红色标注的路径既然环路产生在这中间,那就说明备防火墙原本阻塞的链路得变成转发状态,主备防火墙都转发数据了,否则数据不可能在红色实线标示的路径上转发,由此我们有理由怀疑防火墙出现双主的情况,这就需要查看一下防火墙上的日志信息,看看防火墙是否出现主备切换之类的.
结果在防火墙的日志信息中发现如下日志条目:8422011-08-0215:23:55防ARP攻击警示InterfaceName=eth0Content="DuplicateIP10.
101.
32.
105fromMAC00:90:0B:1A:55:8D"8432011-08-0215:23:55防ARP攻击警示InterfaceName=eth0Content="DuplicateIP10.
101.
32.
105fromMAC00:90:0B:1A:55:8D"8442011-08-0215:23:55HA警示Action="MastertoBackup"Content="thepeerismoreprioritythanme"8452011-08-0215:23:55防ARP攻击警示InterfaceName=eth0Content="DuplicateIP10.
101.
32.
105fromMAC00:90:0B:1A:55:8D"8462011-08-0215:19:58HA警示Action="BackuptoMaster"Content="waitingmaster'skeepalivepackettimeout"8472011-08-0215:19:48防ARP攻击警示InterfaceName=eth0Content="DuplicateIP10.
101.
32.
105fromMAC00:90:0B:1A:55:8D"8482011-08-0215:19:48防ARP攻击警示InterfaceName=eth0Content="DuplicateIP10.
101.
32.
105fromMAC00:90:0B:1A:55:8D"8492011-08-0215:19:48HA警示Action="MastertoBackup"Content="thepeerismoreprioritythanme"8502011-08-0215:19:48防ARP攻击警示InterfaceName=eth0Content="DuplicateIP10.
101.
32.
105fromMAC00:90:0B:1A:55:8D"8512011-08-0215:15:15HA警示Action="BackuptoMaster"Content="waitingmaster'skeepalivepackettimeout"从日志来看,防火墙多次出现HA切换,发现两个防火墙之间发生HA切换的时间和故障发生时间比较吻合,两边防火墙都是master的时候,都转发报文,这样就具备了产生环路的条件.
结合S7500E的日志,故障发生的情况就比较明显了(防火墙时间和75E系统时间一致)首先15:15:15防火墙发生了HA切换紧接着15:17:07发生了LLDP邻居down的事件,这说明S7500E和下挂的S5800之间的LLDP邻居断了,此时肯定无法从S7500EtelnetS5800了.
%Aug215:17:07:5572011ZWSW1LLDP/2/AGEOUTREM:Slot=3;PortGigabitEthernet3/0/1(IfIndex26214400):Neighboragedout,chassisID:0023-89ae-d6c0,portID:GigabitEthernet1/0/1.
此后LLDP邻居多次出现中断的情况,一直到最终网络恢复.
我们前面提到了整网已经启用了MSTP,为何还能出现环路呢那么MSTP为何没有阻止掉环路呢为了弄清楚这个疑问我们继续登录到S5800查看其STP状态,发现下挂S5800计算的根桥竟然是自己本身,而S7500E上已经通过stpinstance0rootprimary确定了自己的根桥地位,但防火墙下挂的S5800仍然认为自己是根桥,那就只有一个可能,就是S5800和S75E之间的STPBPDU报文没有交互成功.
我们再在该S5800上开启debuggingstppacketreceive查看STPBPDU报文的交互情况,发现此设备没有收到任何的BPDU报文,所以STP没有阻断环路的原因在于BPDU报文被中间设备丢弃了,BPDU报文没有交互成功.
综合我们的分析,故障原因就比较清楚了,其根本原因有两点:1)防火墙发生HA,变为双master使得网络具备了环路产生的条件2)S5800和S75E之间的BPDU报文被中间防火墙丢弃,导致STP没有在环路产生的时候阻塞掉链路.
这两点导致了故障的产生,如果重启S75E设备,则环路的条件被破坏,如果此时防火墙再不发生HA切换,则故障就不会再发生,这就是重启S75E能够恢复故障的原因.

ZJI-全场八折优惠,香港服务器 600元起,还有日本/美国/韩国服务器

ZJI怎么样?ZJI是一家成立于2011年的商家,原名维翔主机,主要从事独立服务器产品销售,目前主打中国香港、日本、美国独立服务器产品,是一个稳定、靠谱的老牌商家。详情如下:月付/年付优惠码:zji??下物理服务器/VDS/虚拟主机空间订单八折终身优惠(长期有效)一、ZJI官网点击直达香港葵湾特惠B型 CPU:E5-2650L核心:6核12线程内存:16GB硬盘:480GB SSD带宽:5Mbps...

cera:秋季美国便宜VPS促销,低至24/月起,多款VPS配置,自带免费Windows

介绍:819云怎么样?819云创办于2019,由一家从2017年开始从业的idc行业商家创办,主要从事云服务器,和物理机器819云—-带来了9月最新的秋季便宜vps促销活动,一共4款便宜vps,从2~32G内存,支持Windows系统,…高速建站的美国vps位于洛杉矶cera机房,服务器接入1Gbps带宽,采用魔方管理系统,适合新手玩耍!官方网站:https://www.8...

onevps:新增(支付宝+中文网站),香港/新加坡/日本等9机房,1Gbps带宽,不限流量,仅需$4/月

onevps最新消息,为了更好服务中国区用户:1、网站支付方式新增了支付宝,即将增加微信;原信用卡、PayPal方式不变;(2)可以切换简体中文版网站,在网站顶部右上角找到那个米字旗,下拉可以换中国简体版本。VPS可选机房有:中国(香港)、新加坡、日本(东京)、美国(纽约、洛杉矶)、英国(伦敦)、荷兰(阿姆斯特丹)、瑞士(苏黎世)、德国(法兰克福)、澳大利亚(悉尼)。不管你的客户在亚太区域、美洲区...

arp攻击为你推荐
软银孙正义马云富还是孙正义富可爱桌面背景图片求好看的桌面背景图片p图软件哪个好用新手用哪个软件p图较好?麒麟990和骁龙865哪个好海思麒麟990和骁龙710哪个好?苹果x和xr哪个好iphone X和iphone XR哪个比较好?买哪个合适?录屏软件哪个好有什么好用的游戏录屏软件推荐吗?电脑杀毒软件哪个好电脑用什么杀毒软件好?莫代尔和纯棉哪个好莫代尔和纯棉的区别,莫代尔和纯棉哪个好手机浏览器哪个好手机什么浏览器最好用?电动牙刷哪个好什么品牌的电动牙刷比较好?
美国vps 最便宜虚拟主机 域名交易网 电信测速器 themeforest 私人服务器 360抢票助手 回程路由 php探针 150邮箱 免费高速空间 in域名 raid10 主机管理系统 电信网络测速器 秒杀品 谷歌台湾 带宽测试 密钥索引 phpinfo 更多