一次办公网络处理ARP欺骗实例

故障现象

1、DNS无法解析公司内部网站

2、部分同事ping内网地址不通

故障回顾

早上发现内网监控站点打不开报错“无法解析的域名”其他站点访问正常，禁用网卡后启用恢复正常。

上午有许多同事反应dns解析有问题查看dns配置正常怀疑网络中有arp欺骗

故障排查

使用扫描工具查看内网MAC地址情况发现大量ip对应同一个MAC

再查看自己的ARP表发现问题相同

此时可以确定网络中存在ARP欺骗
查找故障源
使用Wireshark抓包，并过滤ARP协议

发现Cisco-LI这台机器发送了大量的ARP广播包，此时基本确定ARP病毒源为它；
考虑到它是一个翻墙的小型翻墙路由器所以做了以下测试
1、清掉自己的arp表并查看现在arp情况

2、打开Wireshark开始抓包
3、随便ping某个IP我这里ping 192.168.31.44，不通正常此ip就不存在

4、此时停掉Wireshark并过滤出ARP协议的包

解析：
1405号包为我本机发送的广播包（我主机ip：192.168.31.20 MAC：38:2c:4a:b5:c0:a1）,去问谁是31.44告诉我
1430号包为目标机应答的包（这个IP是不存在的有包返回本身就是问题），这个包向我发送的信息从下面可以看出，他告诉我它是31.44的主机它的MAC地址为48:f8:b3:a0:06:43
所以断定arp欺骗的源头就是它，此时关掉它再次查看arp表

可以发现此时的arp表恢复正常