緊急求解：虛假dns請求引發(fā)的arp請求包過多問題

luzengqiu

問題如下：
      近期發(fā)現(xiàn)單位的dns服務(wù)器不停發(fā)送大量的arp請求，抓包檢查后發(fā)現(xiàn)請求地址均是與dns同一網(wǎng)段的沒有使用的ip地址。
      在dns上抓包后發(fā)現(xiàn)，有大量同一網(wǎng)段的沒有使用的ip地址請求對某幾個網(wǎng)址的解析，dns響應(yīng)后，要返回信息，就會向所在網(wǎng)段發(fā)送廣播包即arp請求包。
      開始懷疑是木馬或病毒，將所在網(wǎng)段的所有服務(wù)器進行了排查，沒有發(fā)現(xiàn)問題。
      然后進行斷網(wǎng)排查，發(fā)現(xiàn)只要將教育網(wǎng)出口斷掉，就正常了。
      現(xiàn)在一直沒有找到原因。
      懷疑是外網(wǎng)的攻擊，但是一直找不到發(fā)動者的地址。

截圖：
圖中的左側(cè)為源地址，右側(cè)為目的地址，都是一個網(wǎng)段的，源地址都是沒有使用的地址。
各位大俠，有遇到過這種情況的沒有，幫忙解決一下。不勝感激。

luzengqiu

&pid回復(fù) 1# luzengqiu


    自己頂頂。

luzengqiu

沒人知道嗎？

cadeerty

這種源地址是偽造的，如果你的dns服務(wù)器只是提供給內(nèi)部使用的緩存服務(wù)器的話，可以考慮在網(wǎng)絡(luò)設(shè)備或服務(wù)器上拒絕外來的dns請求。

luzengqiu

解決了。

aaaaa5aa

怎么解決的？

luzengqiu

頭疼，dns是沒事了，現(xiàn)在是網(wǎng)關(guān)發(fā)送arp請求，找一些根本沒有使用的ip。疑似有人在進行網(wǎng)絡(luò)掃描。

aaaaa5aa

現(xiàn)在是什么情況?

flb_2001

難道是ARP病毒的變種，脅持DNS？

想去看火

我現(xiàn)在也遇到同樣的問題，樓主能不能共享一下經(jīng)驗啊，謝謝。