| |
同樣在計(jì)算機(jī)B上也運(yùn)行WINDUMP：
C:\> WINDUMP –N
windump30alpha: listening on \Device\NPF_{911DB410-C01E-49E8-B524-50132C6A56B4}
…………
15:57:54.695935 arp who-has 222.222.222.191 tell 222.222.222.1
15:57:55.191475 arp who-has 222.222.222.136 tell 222.222.222.1
15:57:57.033354 arp who-has 222.222.222.210 tell 222.222.222.1
15:57:57.039057 arp who-has 222.222.222.69 tell 222.222.222.1
…………（已作篩選）
查看路由器上的日志，我任意找到其中一條關(guān)于ICMP的記錄：
Jul 09 15:51:50 %ACL_LOG-I-PERMIT, ACL [out]
on "uplink" ICMP 210.29.42.70 -> 218.79.246.212
經(jīng)查，在計(jì)算機(jī)A上采集的數(shù)據(jù)中，有幾條記錄（最后兩條）包含“218.79.246.212”的IP和此記錄匹配。從這兩句的記錄來(lái)看，第一行表明從218.79.246.212的tcp端口64627向222.222.222.191的16881端口發(fā)送報(bào)文。S標(biāo)志表明設(shè)置了SYN標(biāo)志，報(bào)文的流序號(hào)是2898301189，沒(méi)有數(shù)據(jù)，有效的接收窗口是4096字節(jié)，最大段大小(max-segment-size)的選項(xiàng)，請(qǐng)求設(shè)置mss為1452字節(jié)。很明顯，這是一個(gè)請(qǐng)求報(bào)文。而第二句表明路由器給218.79.246.212返回了一個(gè)“unreachable（主機(jī)不可達(dá)）”ICMP 信息。這說(shuō)明在這個(gè)網(wǎng)段中沒(méi)有找到IP地址為“222.222.222.191”的計(jì)算機(jī)。
原來(lái)，當(dāng)路由器接收到一個(gè)不知道IP地址（也就是說(shuō)，路由器不知道目標(biāo)路由）的數(shù)據(jù)包時(shí)，它會(huì)嘗試發(fā)送ARP廣播來(lái)解析，如果有目標(biāo)主機(jī)回應(yīng)這個(gè)ARP廣播，則路由器會(huì)把數(shù)據(jù)包轉(zhuǎn)發(fā)給目標(biāo)主機(jī)。如果路由器沒(méi)有接收到回應(yīng)，它將會(huì)為接下來(lái)的4個(gè)數(shù)據(jù)包發(fā)送ARP請(qǐng)求，如果當(dāng)?shù)?個(gè)數(shù)據(jù)包到達(dá)時(shí)，還沒(méi)有解析出目標(biāo)主機(jī)的MAC地址，默認(rèn)情況下，路由器將會(huì)在接下來(lái)的20秒鐘內(nèi)丟棄第6個(gè)以及后續(xù)的數(shù)據(jù)包，并且返回“主機(jī)不可達(dá)”的ICMP信息給源主機(jī)。
從計(jì)算機(jī)B的記錄中的第一句也可以得到證明，路由器向該網(wǎng)段中發(fā)出一個(gè)ARP查詢，查找IP為“222.222.222.191”的計(jì)算機(jī)，結(jié)果沒(méi)有計(jì)算機(jī)相應(yīng)，路由器則認(rèn)為該網(wǎng)段中沒(méi)有目標(biāo)主機(jī)，所以返回一個(gè)ICMP信息給源計(jì)算機(jī)說(shuō)明目標(biāo)主機(jī)不可到達(dá)，以通知源主機(jī)這里存在問(wèn)題，同時(shí)丟棄原始數(shù)據(jù)包。
至此問(wèn)題已經(jīng)明朗，原來(lái)路由器記錄的ICMP都是路由器發(fā)送給源地址的“Destination Unreachable”信息。那么為什么這些外面的IP地址會(huì)找校內(nèi)的計(jì)算機(jī)呢？從采集的數(shù)據(jù)分析不難發(fā)現(xiàn)，這些外部主機(jī)主要是找內(nèi)部的固定的三個(gè)計(jì)算機(jī)。經(jīng)過(guò)歷史日志的檢查，可以發(fā)現(xiàn)這三臺(tái)計(jì)算機(jī)的主要相同的記錄：
07:52:19 Jul 09 07:50:02 %ACL_LOG-I-PERMIT, ACL [out]
on "uplink" TCP 222.222.222.136:3159 -> 61.173.209.101:6881
08:00:15 Jul 09 07:53:50 %ACL_LOG-I-DENY, ACL [out]
on "uplink" TCP 222.222.222.12:3194 -> 219.121.133.197:6883
08:00:15 Jul 09 07:57:59 %ACL_LOG-I-DENY, ACL [out]
on "uplink" TCP 222.222.222.220:3196 -> 210.238.6.177:6881
這三臺(tái)主機(jī)連接目標(biāo)主機(jī)的端口固定在6881到6889之間，而這些端口正是現(xiàn)在比較流行的BT下載的常用端口。難怪以前沒(méi)有出現(xiàn)過(guò)此類日志，直到最近BT流行時(shí)，才出現(xiàn)的。主要原因是，這些主機(jī)使用BT下載時(shí)，在BT服務(wù)器上留下了記錄，以便其他的主機(jī)到這些主機(jī)上下載資源，而當(dāng)這些主機(jī)關(guān)機(jī)后，路由器就告訴它們找不到這些主機(jī)了。
由于日志服務(wù)所記錄的是第三層以上的信息，而路由器接收到的數(shù)據(jù)包在第二層上就被丟棄了，所以沒(méi)有在日志中記錄這些輸入的異常數(shù)據(jù)包。為了減少路由器的日志量，在配置模式下使用“ip disable icmp-messages destination-unreachables”來(lái)禁止此類信息的轉(zhuǎn)發(fā)。
這兩個(gè)故障均由ICMP引發(fā)，而且從某種角度上講都不是系統(tǒng)配置上的問(wèn)題，而是由于外部因素引起的。此類故障需要我們經(jīng)過(guò)一定的分析才能查出原因，再作相應(yīng)的配置才能排除故障。 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
