姜 涛

奇怪的网络故障

姜 涛

广播数据是计算机网络通信的基础，在硬件中，涉及集线器、交换机的工作原理，在软件中涉及MAC，IP地址的获取(ARP，RARP，DHCP协议)，PPPOE的发现过程，网络共享的主机名(NETBIOS NAME SERVICE)等。广播数据无处不在，无比重要，以太网如此高效，广播数据功不可没。但另一方面，每一个广播数据包都要传遍全网，数据包太多了又严重影响网络速度，人们又想出VLAN以及路由等种种办法来限制其数量、范围，竭力维持一种高效的平衡，但稍不留意，平衡就会被打破。

某日清晨，一些教师反映不能上网了，网关都Ping不通，仔细观察，电脑的网络设置正确，连接指示也没有大量的数据收发，网关ARP也未被修改，重启后故障依旧。

教师机的软件方面似乎没有问题，也不像被攻击，是网卡损坏？但昨天还都正常工作，今天不应该数台同时坏。拟先抓包分析，再定对策。

将教师机网线插入，启动科来网络分析系统，不到一分钟，就抓到很多数据。

可以看出，网络内充斥着大量的广播数据，高峰时每秒近4万个包，这是一个不正常的 地方，第一反应是很有可能被DDOS攻击。

但看到协议统计后发现，量最大的是一种平时流量很少的NetBIOS广播数据，这种协议常见于WIN2K以前的网络应用中，现在的网络程序一般采用WinSOCK接口，很少使用NetBIOS接口了，许多网络中甚至都禁用了NetBIOS。这又是一个不正常的地方。是可能有古老的NetBIOS程序在进行拒绝攻击吗？

由于校园网已经划分了VLAN，而VLAN的主要作用就是隔离这种广播数据包，所以可以肯定这种数据包出自本地子网节点中，查看数据包内容，发现数据均为同一台电脑所发送，根据MAC，轻易定位到问题源，将其关机。……