通信网

通信网--中国通信行业门户网站 | 中国行业网站集群--通信行业电子商务唯一网站

设为首页 | 收藏本站

免费注册

商机无限

商务中心

行业展会

立即发布商机

网站首页

公司库

产品库

商机库

行业资讯

展会信息

招聘信息

招商加盟

下载中心

招标信息

关键词：

热门词汇: IP网络电话语音识别手机充电器手机GPS 3G手机传输设备交换设备

网上展览：

中国通信网最新加盟企业:

大连瑞恒电力电气有限公司天津振威展览有限公司安平县小大筛网滤布联合经销部深圳星和电子有限公司郑州凯诚科技电子有限公司郑州威立电子科技有限公司广州市宇通电源科技有限公司杭州宏拓科技有限公司深圳市宝安区西乡银田工业区汇潮大厦西安雷达电子科技有限公司

当前位置：网站首页

行业资讯

网络学院

【创心服务联通你我】青春逢盛世，奋斗正当时

中国通信网

时间：2009-06-03

信息来源：51CTO

某日，防火墙的性能监控忽然出现问题，每天在2 000～5 000之间变动的连接数，今天持续在36 000个左右变动。由于情况异常，我立刻打开防火墙“实时监控”中的“连接信息”，发现有一个端口出现大量异常数据包，其特点为：所有目的IP地址是同一个（202.101.180.36），但源IP地址在不停地变化，IP地址变化有明显的规律性，并且不是我们单位的内部地址。

根据经验可以看出，源IP地址是由一个程序自动产生的，现在需要查出是哪台连网的计算机用伪造的IP地址疯狂对外发送数据包。

在交换机上查找

由于我们单位的IP地址与MAC地址绑定、MAC地址与端口绑定，因此发送数据的计算机一定是属于合法的用户，一种情况是用户在使用黑客工具攻击其他人，为隐藏自己真实的IP地址而不断变换IP地址。另一种情况是用户的计算机被病毒感染，病毒自动对外发送大量数据包，并自动变化源IP地址。当务之急是迅速查出发出大量数据包的计算机真实IP地址。

考虑到防火墙的位置和功能，与防火墙技术人员沟通后，认为在防火墙上无法找到此机器的真实IP地址，因此在三层交换机Cisco 6509上查找。我查阅了一下资料，在Cisco 6509进行以下配置：

access-list 101 permit ip any host 202.101.180.36 log-input

access-list 101 permit ip any any

其中 202.101.180.36 是上面提到的目的地址，log-input的意思是“Log matches against this entry, including input interface”，即对匹配此列表的数据，包括输出的端口做日志。

然后输入“sh log”命令，其结果如下。

Syslog logging: enabled （0 messages dropped，

8 messages rate-limited， 0 flushes，0 overruns）

Console logging: level debugging, 20239 messages logged

Monitor logging: level debugging, 0 messages logged　Buffer logging: level debugging,

20245 messages logged　Exception Logging: size （4096 bytes）

Trap logging: level informational，

20269 message lines logged　Log Buffer （8192 bytes）：

01.180.36（0）， 1 packet

16w6d： %SEC-6-IPACCESSLOGP： list 101 permitted tcp 245.206.1.197 （0）

（Vlan101 5254.ab21.e77a） -> 202.101.180.36（0）， 1 packet

16w6d： %SEC-6-IPACCESSLOGP： list 101 permitted tcp 245.206.1.198 （0）

（Vlan101 5254.ab21.e77a） -> 202.101.180.36（0）， 1 packet

16w6d： %SEC-6-IPACCESSLOGP： list 101 permitted tcp 245.206.1.199 （0）

（Vlan101 5254.ab21.e77a） -> 202.101.180.36（0）， 1 packet

16w6d： %SEC-6-IPACCESSLOGP： list 101 permitted tcp 245.206.1.200 （0）

（Vlan101 5254.ab21.e77a） -> 202.101.180.36（0）， 1 packet

关闭惹事计算机端口

从上面的输出结果可以清楚地观察到，产生虚假IP地址计算机的VLAN和MAC地址，通过我们自己的网管软件立即查找到此MAC地址的真实IP地址、用户姓名、部门、端口号等信息。登录用户计算机所在的二层交换机，关掉此计算机使用的端口，防火墙上监控的连接数即刻恢复到正常状态。

相关资讯

· 【创心服务联通你我】青春逢盛世，奋斗正当时	(2012-01-17)
· 【创心服务联通你我】青春逢盛世，奋斗正当时	(2012-01-14)
· 【创心服务联通你我】青春逢盛世，奋斗正当时	(2012-01-12)
· 【创心服务联通你我】青春逢盛世，奋斗正当时	(2012-01-11)
· 【创心服务联通你我】青春逢盛世，奋斗正当时	(2012-01-09)

发表评论

热门资讯

【创心服务联通你我】青春逢盛...		(2009-09-15)
【创心服务联通你我】青春逢盛...		(2011-04-28)
【创心服务联通你我】青春逢盛...		(2009-09-16)
【创心服务联通你我】青春逢盛...		(2008-07-15)
【创心服务联通你我】青春逢盛...		(2008-05-23)
【创心服务联通你我】青春逢盛...		(2008-07-31)
【创心服务联通你我】青春逢盛...		(2008-07-31)
【创心服务联通你我】青春逢盛...		(2012-01-09)
【创心服务联通你我】青春逢盛...		(2011-01-30)
【创心服务联通你我】青春逢盛...		(2010-05-28)
【创心服务联通你我】青春逢盛...		(2008-07-31)
【创心服务联通你我】青春逢盛...		(2011-02-17)
【创心服务联通你我】青春逢盛...		(2008-07-31)
【创心服务联通你我】青春逢盛...		(2009-08-13)
【创心服务联通你我】青春逢盛...		(2011-05-03)
【创心服务联通你我】青春逢盛...		(2008-07-31)
【创心服务联通你我】青春逢盛...		(2009-08-12)
【创心服务联通你我】青春逢盛...		(2008-07-31)
【创心服务联通你我】青春逢盛...		(2008-07-31)
【创心服务联通你我】青春逢盛...		(2010-07-20)
【创心服务联通你我】青春逢盛...		(2009-08-12)
【创心服务联通你我】青春逢盛...		(2010-08-27)
【创心服务联通你我】青春逢盛...		(2009-10-11)
【创心服务联通你我】青春逢盛...		(2009-08-12)
【创心服务联通你我】青春逢盛...		(2009-07-24)