DCHP 出現大量BAD_ADDRESS

confusechen 2013-07-24 12:09:46 ‧ 16448 瀏覽

分享至

OS:win2003
DHCP用設定保留區方式，固定MAC派送IP
以前只有偶而出現bad_address，經過重新設定後就好了
但近來DHCP上卻出現好十幾個bad_address，讓這幾台電腦無法上網，刪掉重新設定過後
一會兒，又馬上變成bad_ADDRESS，甚至將這幾台電腦設定至其他IP也無法
最後只好在本機上直接指定IP，懷疑是ARP攻擊或病毒，不知道該怎辦，只好向各位求救了~

林門神JanusLin iT邦超人 1 級 ‧ 2013-07-25 12:43:34 檢舉

FYI
我們處理過的狀況有
1.Switch/Route發Arp Proxy,或是Arp Cache sync time不同造成
2.電腦用過其他DHCP回來配發同區段IP
3.Switch壞掉
4.ARP 病毒
5.Client 端的網卡Driver或是管理程式造成
6.DHCP Server要上補丁
7...

建議抓一段Wireshark分析

confusechen iT邦新手 5 級 ‧ 2013-08-09 11:24:06 檢舉

最後發現結果竟然是所有的switch重開重新設定過就好了...如同你的第一點:Arp Cache sync time不同

CalvinKuo iT邦大師 7 級 ‧ 2013-08-09 11:55:02 檢舉

看來版大沒抓封包分析，但是若是ARP病毒或故障SWITCH造成，每次都要重開所有SWITCH不嫌麻煩嗎?

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

4 個回答

Ken(Bigcandy)

iT邦大師 1 級 ‧ 2013-07-24 13:34:31

把DHCP Server移除掉重新安裝過

回應 2
分享
檢舉

confusechen iT邦新手 5 級 ‧ 2013-07-24 22:00:46 檢舉

我沒試過，感謝，我來試試看，
但DHCP底下機器數量超多台了...
看來需要土法煉鋼了@@

Ken(Bigcandy) iT邦大師 1 級 ‧ 2013-07-25 10:13:09 檢舉

我是經驗之談，不是隨口說說的

登入發表回應

msit

iT邦高手 1 級 ‧ 2013-07-24 13:50:51

一般來說，用Mac派送時，會出現該訊息
主要是因為
User端電腦記憶還在另一個位址，而又被指定了另一個位址，主要的原因可能是User端被配置過另一個位址，或是抓過自動選派的IP，因為 DHCP重建，位址被改後必須去user端release與renew，才會抓到對的。

回應 3
分享
檢舉

CalvinKuo iT邦大師 7 級 ‧ 2013-07-24 15:05:05 檢舉

可能版大用的是192.168.1.X網段(IP分享器與AP的最愛)
常衝的1~3, 11~13, 101~103 (User家中設備應該不多)

confusechen iT邦新手 5 級 ‧ 2013-07-24 21:58:37 檢舉

1.我有先release過，在DHCP上重新設定過，在本機renew
才剛連上線，馬上又斷調，變成169.x.x.x的IP
2.出現bad_address的網段很分散有
192.168.0.X
192.168.4.X
192.168.6.X
192.168.7.X

CalvinKuo iT邦大師 7 級 ‧ 2013-07-25 10:30:59 檢舉

DHCP Server會檢查ARP封包...
可能要檢查有無異常ARP封包。
[
http://www.mobile01.com/topicdetail.php?f=110&t=765158&p=2](<br />
http://www.mobile01.com/topicdetail.php?f=110&t=765158&p=2)

Stupid Turtle #18提到：
你提到的dhcp 被用光有可能是網路上有惡意的機器, 或有不正確的Proxy Arp 設定.

當你的dhcp Server的ip被用光時, 如果你的DHCP Server是Windows DHCP Server.
你可看一下是否很多都被標記為 "Bad Address", 如果是那就對了

在arp的封包裡還有個特殊用途, 用來檢查網路上是否有人跟你的IP是相同的
基本上是來源 "自己的MAC"+"自己的ip", 目的地"FFFFFFFFFFFF+ 自己的MAC"
如果有人回覆就代表網路上有人跟你IP一樣.
這時機器就會告訴DHCP你給我一個有人用的, 請再給我一個.
DHCP Server 就會將原先的ip 作個"Bad Address"的註記, 以免再發給別人
並再找一個IP給要求者....已此循環下去你的dhcp Server的ip就被用光了！

因此壞人就是那個回復 arp的人, 所以只要找到那個回復Arp的機器.
如果你會用Sniffer之類的工具就好辦了！如果不會也有笨方法可查- 下次在說！