*案例名稱(chēng)：

　　《利用交換機(jī)解決局域網(wǎng)ARP問(wèn)題》

　　*技術(shù)范圍：

　　交換  病毒

　　技術(shù)關(guān)鍵詞：

　　Switch 2950， ARP；

　　*案例描述：

　　局域網(wǎng)有兩個(gè)VLAN，每個(gè)VLAN約200個(gè)節(jié)點(diǎn)，經(jīng)常會(huì)出現(xiàn)一種情況：在某一個(gè)VLAN開(kāi)始有一兩個(gè)用戶(hù)不能上網(wǎng)，一段時(shí)間過(guò)后整個(gè)VLAN不能上網(wǎng)，但另外一個(gè)VLAN可以正常上網(wǎng)。

　　*解決思路：

　　此問(wèn)題第一次出現(xiàn)時(shí)，解決方案是全網(wǎng)殺毒。將所有機(jī)器的病毒清除之后發(fā)現(xiàn)兩個(gè)VLAN正常工作。但這種解決辦法過(guò)于簡(jiǎn)單，且占用用戶(hù)時(shí)間很長(zhǎng)，影響辦公效率。

　　通過(guò)抓包研究分析，此現(xiàn)象是局域網(wǎng)內(nèi)ARP病毒造成。找到問(wèn)題的源頭后，采用一些辦法快速解決問(wèn)題。

　　具體步驟如下：

　　1，分析問(wèn)題：在開(kāi)始不能上網(wǎng)的機(jī)器上運(yùn)行cmd-->arp –a，查看數(shù)據(jù)列表是否有可疑地址，如下列表中紅色字體顯示：
C:\Documents and Settings\sam>arp -a
Interface: 10.0.6.8 --- 0x2
  Internet Address      Physical Address      Type
  10.0.6.1                 00-0b-5f-bb-9d-80     dynamic
  10.0.6.105             00-1a-92-74-ca-cd     dynamic
再運(yùn)行cmd-->arp –d，清除ARP列表，重新運(yùn)行arp –a，看數(shù)據(jù)列表的可疑IP地址是否仍然存在。如果不存在，說(shuō)明此IP地址正常，如果仍然存在，說(shuō)明此機(jī)器可以肯定有ARP病毒，從下表可以看出：6.105的機(jī)器告訴“我”它的MAC地址是6.1（網(wǎng)關(guān) ）：
C:\Documents and Settings\sam>arp -a
Interface: 10.0.6.8 --- 0x2
  Internet Address      Physical Address      Type
  10.0.6.1     00-1a-92-74-ca-cd     dynamic
  10.0.6.105   00-1a-92-74-ca-cd     dynamic

　　2，當(dāng)發(fā)現(xiàn)這種情況時(shí)，首先記下他的MAC地址，然后登陸到該VLAN網(wǎng)段的交換機(jī)上進(jìn)行查找：
在交換機(jī)上輸入命令show mac-address-table mac 001a.9274.cacd（MAC地址的輸入格式不能錯(cuò)） 回車(chē)，如果顯示的結(jié)果是交換機(jī)的千兆上連端口則說(shuō)明不在此交換機(jī)上，如果顯示的結(jié)果是交換機(jī)的某一個(gè)以太網(wǎng)口，則說(shuō)明此端口與該IP地址相連，進(jìn)入該接口模式將其管理性關(guān)閉。

　　3，再次運(yùn)行-->cmd-->arp –a 看ARP列表是否正常，如下圖所示則為正常：
C:\Documents and Settings\sam>arp -a
Interface: 10.0.6.8 --- 0x2
  Internet Address      Physical Address      Type
  10.0.6.1              00-0b-5f-bb-9d-80     dynamic

　　4，在有ARP病毒的用戶(hù)機(jī)器上單獨(dú)殺毒并解決，直到局域網(wǎng)恢復(fù)正常。
　　*關(guān)鍵技術(shù)：

show mac-address-table address XXXX.XXXX.XXXX
mac-address-table是交換機(jī)的MAC地址表。交換機(jī)之所以能夠直接對(duì)目的節(jié)點(diǎn)發(fā)送數(shù)據(jù)包，而不是像集線器一樣以廣播方式對(duì)所有節(jié)點(diǎn)發(fā)送數(shù)據(jù)包，最關(guān)鍵的技術(shù)就是交換機(jī)可以識(shí)別連在網(wǎng)絡(luò)上的節(jié)點(diǎn)的網(wǎng)卡MAC地址，并把它們放到一個(gè)叫做MAC地址表的地方。這個(gè)MAC地址表存放于交換機(jī)的緩存中，并記住這些地址，這樣一來(lái)當(dāng)需要向目的地址發(fā)送數(shù)據(jù)時(shí)，交換機(jī)就可在MAC地址表中查找這個(gè)MAC地址的節(jié)點(diǎn)位置，然后直接向這個(gè)位置的節(jié)點(diǎn)發(fā)送。
通常此MAC地址表被管理員放在遺忘的角落，在大多數(shù)情況下也確實(shí)用不上MAC地址表。但是有時(shí)候反過(guò)來(lái)用卻能起到意想不到的效果。
　　
　　*使用命令：
　　1. 2950(config)#ishow mac-address-table address XXXX.XXXX.XXXX        #查找MAC地址在交換機(jī)上的端口，注意MAC地址書(shū)寫(xiě)方式
　　2. 2950(config)#interface f0/23                  #進(jìn)入此接口模式
　　3. 2950(config-if)#shutdown                      #關(guān)閉此接口 　　* 命令解釋?zhuān)海裕?/STRONG>
　　*網(wǎng)絡(luò)拓?fù)鋱D：（略）
　　*備注： 　　1，此方法不是最終、最好的解決方案，但是在網(wǎng)絡(luò)管理和桌面維護(hù)方面遇到ARP病毒卻不能很好的解決問(wèn)題時(shí)，不妨拿出來(lái)作為替代解決方案。
　　2，此方案僅對(duì)局域網(wǎng)內(nèi)交換系統(tǒng)為可管理交換機(jī)有效，如果是低端不可管理的交換機(jī)，則不能照本宣科、生搬硬套。