攻击arp攻击

arp攻击  时间:2021-01-30  阅读:()

知以太网OAMSSH程飞2015-07-13发表S12500由于IP/ARP攻击导致下一跳资源不足案例现网S12500设备1框4号槽位单板下有很多用户反馈不能正常PING通网关,也不能通过三层访问其他网络业务.
诊断日志中有如下的打印:%@1493461564Jun1810:26:25:5082012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b2e,P2:ffffffff,P3:11.
%@1493461565Jun1810:26:25:5082012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b2f,P2:ffffffff,P3:11.
%@1493461564Jun1810:26:25:5082012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b2e,P2:ffffffff,P3:11.
%@1493461565Jun1810:26:25:5082012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b2f,P2:ffffffff,P3:11.
通过进一步查看诊断日志,发现在出现问题开始4号槽位单板打印类似如下信息,P1后面对应的是需要访问的IP地址(十六进制表示,如a8b1b3b转换成十进制为10.
139.
27.
59).
从信息中,也可以看到这些访问的地址是递增的.
当网络中存在连续的IP扫描或ARP攻击时才会出现地址递增的可能.

%@1493461564Jun1810:26:25:5082012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b2e,P2:ffffffff,P3:11.
%@1493461565Jun1810:26:25:5082012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b2f,P2:ffffffff,P3:11.
%@1493461566Jun1810:26:25:5082012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b30,P2:ffffffff,P3:11.
%@1493461567Jun1810:26:25:5082012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b31,P2:ffffffff,P3:11.
%@1493461568Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b32,P2:ffffffff,P3:11.
%@1493461569Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b33,P2:ffffffff,P3:11.
%@1493461570Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b34,P2:ffffffff,P3:11.
%@1493461571Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b35,P2:ffffffff,P3:11.
%@1493461572Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b36,P2:ffffffff,P3:11.
%@1493461573Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b37,P2:ffffffff,P3:11.
%@1493461574Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b38,P2:ffffffff,P3:11.
%@1493461575Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b39,P2:ffffffff,P3:11.
%@1493461576Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b3a,P2:ffffffff,P3:11.
%@1493461577Jun1810:26:25:5092012ZJ-DS-S9512EChassis=1-Slot=4;DRVL3/3/GET_PARA_INVALID:Getparainvalid:0xcc440000[594]:P1:a8b1b3b,P2:ffffffff,P3:11.
2.
软件实现上,当收到IP扫描或ARP攻击时,为了实现防攻击功能,会申请一个下一跳资源,如果此时IP扫描过多会导致下一跳资源占用过多,甚至出现资源不足的情况,影响正常用户的上网.

3.
从目前的正常情况下,下一跳资源占用也是在一个比较高的数量上,而其中大部分为ARP占用的:Ipv4routeprefix:27332Ipv6routeprefix:15Allocatedrouteentry:9195Ipv4Ucallocatednexthop:905518010000000Ipv6Ucallocatednexthop:014000100000Ipv4Mcallocatednexthop:3Ipv6Mcallocatednexthop:0Tunnelallocatednexthop:0Ipv4Vnallocatednexthop:250000000000Maxsupportvrf:1024Maxsupportipv4prefix:262144Maxsupportipv6prefix:65536Maxsupportnexthop:13312即此时已经占用9195个下一跳,而此单板只支持13312个下一跳资源.
纵上所述,此问题是由于当时网络中存在IP扫描和ARP攻击导致下一跳资源被异常占用,引发正常用户无法访问网络的情况.
1.
可以在网络中部署ARP主动确认功能,以及关闭ARP黑洞路由功能,命令如下:undoarpresolving-routeenable关闭ARP黑洞路由后当收到IP扫描的报文时不再下发黑洞路由,减少下一跳资源占用,这可能会导致CPU比正常情况下高的情况,但硬件中可以通过CPU-CODE机制限速这类上送CPU的报文.

arpanti-attackactive-ackenable启用ARP主动确认功能后,设备在新建或更新ARP表项前需进行主动确认,防止产生错误的ARP表项,异常占用下一跳资源.
2.
可以在网络中部署源MAC地址固定的ARP攻击检测功能,命令入下:arpanti-attacksource-macfilter在5秒内,如果收到同一源MAC地址的ARP报文超过一定的阈值(默认为150),则认为存在攻击,系统会将此MAC地址添加到攻击检测表项中.
一些重要的设备,可能会发送大量ARP报文,为了使这些ARP报文不被过滤掉,可以将这类设备的MAC地址配置成保护MAC地址,这样,即使该MAC地址存在攻击也不会被检测、过滤.

命令如下:arpanti-attacksource-macexclude-macmac-address&3.
把部分设备的网关下移,把网关分散到不同网络设备上.
如果网络中存在IP扫描和ARP攻击会导致下一跳资源被异常占用,引发正常用户无法访问网络的情况.
这个时候要根据日志信息,诊断信息,诊断文件以及现网情况共同分析.

展开全文

HostNamaste$24 /年，美国独立日VPS优惠/1核1G/30GB/1Gbps不限流量/可选达拉斯和纽约机房/免费Windows系统/

HostNamaste是一家成立于2016年3月的印度IDC商家，目前有美国洛杉矶、达拉斯、杰克逊维尔、法国鲁贝、俄罗斯莫斯科、印度孟买、加拿大魁北克机房。其中洛杉矶是Quadranet也就是我们常说的QN机房（也有CC机房，可发工单让客服改机房）；达拉斯是ColoCrossing也就是我们常说的CC机房；杰克逊维尔和法国鲁贝是OVH的高防机房。采用主流的OpenVZ和KVM架构，支持ipv6，免...

2022年最新PHP短网址生成系统/短链接生成系统/URL缩短器系统源码

全新PHP短网址系统URL缩短器平台，它使您可以轻松地缩短链接，根据受众群体的位置或平台来定位受众，并为缩短的链接提供分析见解。系统使用了Laravel框架编写，前后台双语言使用，可以设置多域名，还可以开设套餐等诸多功能，值得使用。链接: https://pan.baidu.com/s/1ti6XqJ22tp1ULTJw7kYHog?pwd=sarg 提取码: sarg文件解压密码 www.wn7...

TmhHost香港三网CN2 GIA月付45元起,美国CN2 GIA高防VPS季付99元起

TmhHost是一家国内正规公司，具备ISP\ICP等资质，主营国内外云服务器及独立服务器租用业务，目前，商家新上香港三网CN2 GIA线路VPS及国内镇江BGP高防云主机，其中香港三网CN2 GIA线路最低每月45元起；同时对美国洛杉矶CN2 GIA线路高防及普通VPS进行优惠促销，优惠后美国洛杉矶Cera机房CN2 GIA线路高防VPS季付99元起。香港CN2 GIA安畅机房，三网回程CN2 ...

arp攻击为你推荐
浏览器哪个好目前什么浏览器最好用？985和211哪个好985大学好 还是211是什么意思网页传奇哪个好玩哪个传奇类网页游戏即好玩又不花钱？？红茶和绿茶哪个好红茶和绿茶 那个更好qq网盘在哪里QQ网盘在哪？？？？？？东莞电信网上营业厅东莞电信网上营业厅是不是有个宽带团购活动?dns服务器地址DNS服务地址360云查杀360手机安全卫士的云查杀功能是否可靠？360云u盘360云u盘无法连接怎么回事？360云盘转存百度云盘360云盘可以转存百度云盘吗
台湾vps 1g虚拟主机 域名服务器上存放着internet主机的 企业域名备案 主机优惠码 阿云浏览器 罗马假日广场 香港vps99idc 踢楼 私有云存储 嘉洲服务器 元旦促销 52测评网 赞助 免费dns解析 能外链的相册 吉林铁通 卡巴斯基免费试用版 cloudlink 腾讯总部在哪 更多
赞助商
服务器 西雅图 主机 抢购 港元 节点 罗马尼亚 青果 双核 镜像 优惠 德克萨斯州 面板 德国 安徽 沙田 带宽 香港 越南 挪威 亚特兰大 亚当 解析 俄罗斯 东京 马来西亚 免费版 大阪 数据 机房 重启 新泽西 防御 无限 亚洲 测试 流量 硬盘 重新安装 计费 欧洲 安装 新加坡 菲律宾 拉斯维加斯 德阳 新网 旧金山 证书 腾讯