| |
為了能找到具體的故障原因，筆者在局域網(wǎng)的核心交換機(jī)后臺系統(tǒng)，使用ping命令測試了其中一臺接入交換機(jī)的管理IP地址，測試反饋回來的結(jié)果是無法ping通，會(huì)不會(huì)是核心交換機(jī)與樓層接入交換機(jī)之間的物理連接存在問題呢?為了排除物理線纜因素，筆者特意找來了專業(yè)的光功率計(jì)，來測試連接核心交換機(jī)與樓層接入交換機(jī)的多模光纖線路連通性，結(jié)果發(fā)現(xiàn)光纖線路具有收發(fā)信號，看來問題還是出在樓層接入交換機(jī)上。
不得已，筆者只好再次使用Console控制線纜直接連接到樓層接入交換機(jī)上，使用“display interface”命令查看該交換機(jī)與核心交換機(jī)的級聯(lián)端口狀態(tài)，發(fā)現(xiàn)級聯(lián)端口的數(shù)據(jù)流量還是特別大，同時(shí)大量的廣播數(shù)據(jù)包依然存在;為了阻止廣播數(shù)據(jù)包影響局域網(wǎng)的穩(wěn)定運(yùn)行，筆者特意在該接入交換機(jī)后臺系統(tǒng)，啟用了廣播風(fēng)暴抑制功能，然而該功能的啟用并沒有帶來任何改變。之后，筆者隨手執(zhí)行了“display cpu”字符串命令，查看了故障交換機(jī)的系統(tǒng)資源消耗情況，結(jié)果讓筆者很是吃驚，該交換機(jī)的系統(tǒng)CPU資源消耗率竟然達(dá)到了驚人的100%，而正常情況下交換機(jī)的系統(tǒng)CPU資源消耗率應(yīng)該為25%左右，這也難怪筆者無法從局域網(wǎng)的核心交換機(jī)上ping通故障樓層接入交換機(jī)。將故障樓層接入交換機(jī)與局域網(wǎng)核心交換機(jī)之間的物理連接斷開之后，筆者再次執(zhí)行了“display cpu”字符串命令，結(jié)果看到該交換機(jī)的CPU資源消耗率迅速下降到30%左右;可是重新連接之后，故障樓層接入交換機(jī)的CPU資源消耗率很快又回到了100%，這是什么原因呢?
經(jīng)過仔細(xì)分析、對比，筆者認(rèn)為自從在接入交換機(jī)中啟用了防ARP病毒功能后，局域網(wǎng)中才出現(xiàn)了上網(wǎng)不穩(wěn)定的故障現(xiàn)象，會(huì)不會(huì)是這項(xiàng)功能在暗中“搗亂”呢?為了驗(yàn)證自己的猜想是否正確，筆者立即將接入交換機(jī)的動(dòng)態(tài)ARP檢測功能給關(guān)閉掉，之后又在對應(yīng)交換機(jī)后臺系統(tǒng)，使用“display cpu”命令查看了系統(tǒng)CPU資源消耗情況，果然CPU使用率立即從原先的100%下降到30%左右，對應(yīng)交換機(jī)下面的客戶端系統(tǒng)上網(wǎng)速度也恢復(fù)了正常。與此同時(shí)，另外幾臺暫時(shí)沒有關(guān)閉動(dòng)態(tài)ARP檢測功能的接入交換機(jī)，其CPU使用率仍然一直居高不下，并且這些交換機(jī)下面的客戶端系統(tǒng)上網(wǎng)速度還是斷斷續(xù)續(xù)，數(shù)據(jù)丟包現(xiàn)象仍然十分嚴(yán)重。很顯然，局域網(wǎng)中的上網(wǎng)斷斷續(xù)續(xù)故障現(xiàn)象，與動(dòng)態(tài)ARP檢測功能有關(guān)。
原因解密
上網(wǎng)搜索了動(dòng)態(tài)ARP檢測功能的工作原理，筆者發(fā)現(xiàn)該功能會(huì)自動(dòng)截取來自不信任網(wǎng)絡(luò)端口發(fā)送過來的ARP數(shù)據(jù)請求，同時(shí)會(huì)自動(dòng)驗(yàn)證對應(yīng)數(shù)據(jù)包的數(shù)據(jù)綁定行為是否合法，看看它的地址綁定關(guān)系與DHCP綁定表中的是否一致，如果一致的話就對ARP數(shù)據(jù)包進(jìn)行放行，要是不一致的話就對ARP數(shù)據(jù)包進(jìn)行丟棄，這項(xiàng)功能可以有效地預(yù)防中間人攻擊，也能防止局域網(wǎng)用戶自行修改網(wǎng)卡物理地址和IP地址，避免局域網(wǎng)中發(fā)生地址沖突現(xiàn)象。經(jīng)過進(jìn)一步了解，筆者發(fā)現(xiàn)該功能往往與DHCP嗅探功能配合使用，并且該功能還存在一個(gè)明顯的缺陷，那就是對ARP數(shù)據(jù)包的動(dòng)態(tài)檢測操作，需要不停消耗交換機(jī)系統(tǒng)的CPU資源，如果處理的ARP數(shù)據(jù)包流量特別大的話，那么交換機(jī)系統(tǒng)的CPU資源消耗率就會(huì)很高，嚴(yán)重時(shí)就能出現(xiàn)CPU資源被100%消耗的現(xiàn)象。
而DHCP嗅探功能在工作的時(shí)候，DHCP服務(wù)器會(huì)將分配出去的動(dòng)態(tài)IP地址，以及客戶端系統(tǒng)的網(wǎng)卡物理地址之間的對應(yīng)關(guān)系，自動(dòng)記錄保存到一個(gè)地址綁定表中，任何客戶端系統(tǒng)進(jìn)行網(wǎng)絡(luò)連接的時(shí)候，該功能會(huì)自動(dòng)檢查數(shù)據(jù)包的IP地址與網(wǎng)卡物理地址之間的對應(yīng)關(guān)系，看看這種對應(yīng)關(guān)系與地址綁定表中的記錄是否一致，如果一致的話就允許目標(biāo)數(shù)據(jù)包通過，否則將不允許數(shù)據(jù)包通過，這種功能可以有效地防止局域網(wǎng)其他不合法DHCP服務(wù)器的功能。
當(dāng)一臺交換機(jī)系統(tǒng)同時(shí)啟用了動(dòng)態(tài)ARP檢測功能和DHCP嗅探功能的時(shí)候，既能有效防范非法DHCP服務(wù)器的干擾，又能禁止上網(wǎng)用戶隨意改動(dòng)客戶端系統(tǒng)的上網(wǎng)地址以及網(wǎng)卡物理地址來偷偷上網(wǎng)，如此一來就能實(shí)現(xiàn)安全、穩(wěn)定相互兼顧的效果;但讓筆者感到非常納悶的是，這里的樓層交換機(jī)也是同時(shí)啟用了這兩項(xiàng)功能，為什么它們沒有發(fā)揮應(yīng)有的作用呢，反而只有關(guān)閉了動(dòng)態(tài)ARP檢測功能，才能解決上網(wǎng)斷斷續(xù)續(xù)故障現(xiàn)象呢?經(jīng)過與集成商的溝通、交流，筆者終于找到了問題的答案，原來當(dāng)交換機(jī)系統(tǒng)同時(shí)啟用了上面兩項(xiàng)功能，如果每一臺交換機(jī)上都劃分有相同的虛擬工作子網(wǎng)時(shí)，那么廣播數(shù)據(jù)包就會(huì)在接入交換機(jī)之間不停地被發(fā)送或轉(zhuǎn)發(fā)，如此一來就會(huì)大量消耗交換機(jī)系統(tǒng)的CPU資源，最終會(huì)引發(fā)上網(wǎng)斷斷續(xù)續(xù)的故障現(xiàn)象。 本新聞共 3頁,當(dāng)前在第 2頁 1 2 3 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
