與路由相關(guān)的故障，往往會(huì )造成大片或者全局性的網(wǎng)絡(luò )癱瘓，管理員們對此也是避之不及的。筆者做網(wǎng)絡(luò )支持多年，接觸過(guò)太多這樣的案例。下面和大家分享一個(gè)路由劫持案例，進(jìn)而進(jìn)行拓展談?wù)勵?lèi)似路由故障的排錯思路和技巧。
一、案例再現——路由器被劫持了! 1、故障描述 某公司的內網(wǎng)是在三層交換處劃分的VLAN，最后通過(guò)路由器與遠程連接，網(wǎng)內有近二百臺主機。前段時(shí)間網(wǎng)絡(luò )出現了這樣一個(gè)故障：公司網(wǎng)絡(luò )網(wǎng)速緩慢，且出現延遲現象，登錄服務(wù)器很久都沒(méi)有響應，時(shí)常提示超時(shí)。當初判斷是網(wǎng)絡(luò )中有異常數據流，因為網(wǎng)絡(luò )中的交換機和路由器燈長(cháng)明、狂閃。
2、定位中毒客戶(hù)端 最初以為公司網(wǎng)絡(luò )部署不嚴密或者在網(wǎng)絡(luò )中存在A(yíng)RP欺騙，ARP風(fēng)暴吞噬了網(wǎng)絡(luò )帶寬，影響了網(wǎng)絡(luò )速度。鑒于接入網(wǎng)絡(luò )機器太多，手動(dòng)全部查找很麻煩，決定借助分析軟件來(lái)查。將安裝軟件的筆記本接入到中心交換機端口，經(jīng)過(guò)一個(gè)小時(shí)，根據軟件得到的數據分析，感覺(jué)是感染了蠕蟲(chóng)病毒，是些病毒在網(wǎng)絡(luò )中感染了其他機器，產(chǎn)生了數據風(fēng)暴，使網(wǎng)絡(luò )性能下降。
根據軟件“診斷視圖” 中顯示的連接嘗試，發(fā)現有一臺IP為172.16.56.7的主機不正常。進(jìn)行定位分析后，判斷此主機可能感染了蠕蟲(chóng)病毒，且該病毒正在試圖感染其他主機。病毒自動(dòng)通過(guò)網(wǎng)絡(luò )與其他主機的TCP 445端口建立連接，試圖感染其他主機，嚴重消耗了網(wǎng)絡(luò )資源，造成網(wǎng)絡(luò )性能下降，嚴重時(shí)會(huì )使整個(gè)網(wǎng)絡(luò )癱瘓。于是對此主機進(jìn)行了隔離，病毒查殺后，重新接入網(wǎng)絡(luò )。
3、故障重現 本以為問(wèn)題得到解決，可第二天又出現了以前的情況，只是沒(méi)有以前大面積長(cháng)時(shí)間斷
網(wǎng)或停滯，還是有規律地發(fā)生網(wǎng)絡(luò )擁堵，網(wǎng)速緩慢。再次用分析軟件進(jìn)行抓包分析，通過(guò)分析發(fā)現大流量的數據是從外網(wǎng)通過(guò)路由器轉發(fā)到一個(gè)MAC地址為00-A0-D1-E5-17-05的主機上，這個(gè)數據占了外網(wǎng)流入量的80%以上。通過(guò)檔案資料查到了此主機為一臺服務(wù)器，主要用來(lái)實(shí)現內部文件共享的文件服務(wù)器。通過(guò)對此服務(wù)器進(jìn)行檢查，結果發(fā)現此服務(wù)器配置成了代理服務(wù)器，懷疑被人入侵了。
那么為什么配成代理服務(wù)器呢?是不是路由器也被入侵了?登錄路由器，發(fā)現路由器
設置了端口轉發(fā)，許多端口轉發(fā)都轉到了這臺文件服務(wù)器上?，F在原因已經(jīng)很清楚了，有人入侵了此文件服務(wù)器，并將它設置成了代理服務(wù)器，然后控制了路由器，在路由器上設置了端口轉發(fā)，把外網(wǎng)數據轉到服務(wù)器上，最后在自己的機器上設置代理上網(wǎng)，通過(guò)P2P軟
件大量下載造成網(wǎng)絡(luò )擁堵。因為公司規定除個(gè)別機器可以上網(wǎng)外，絕大部分機器不能接入
Internet網(wǎng)，所以通過(guò)路由器進(jìn)行了限制。由于公司路由器采用的是默認用戶(hù)名，只是簡(jiǎn)單地設置了密碼，這樣路由器就被控制了。
4、故障徹底解決 運行網(wǎng)絡(luò )分析軟件，首先取消了文件服務(wù)器的文件共享，設置網(wǎng)絡(luò )監控軟件，很快獲得了大量數據。根據幾個(gè)可疑MAC及所存的檔案，很快找到了相應的主機。然后恢復文件服務(wù)器共享功能，取消代理服務(wù)器設置，重新設置路由器密碼。至此問(wèn)題徹底解決。
二、深入拓展——如何解救被劫持的路由? 也許，上面的案例比較特殊。其實(shí)，網(wǎng)絡(luò )運維中類(lèi)似的案例還是比較多的，其原因也是非常復雜的。下面談?wù)勗斐深?lèi)似故障的排錯思路和排錯流程。
1、排錯思路 (1).上層交換機或者電信核心交換機出現了故障。如果是這種原因，公司網(wǎng)絡(luò )內部仍然是暢通的，路由器和交換機設備處于工作正常狀態(tài)。這種情況也是時(shí)有發(fā)生的，比如筆者本地的電信路由就曾因遭到攻擊而癱瘓。對此，公司管理員是無(wú)能為力的，只能等待電信部門(mén)盡快恢復了。
(2).公司內部用戶(hù)在使用Emule、BT等下載軟件在下載資料。員工使用Emule和BT等下載軟件下載資料時(shí)，會(huì )占用公司大量帶寬，公司網(wǎng)絡(luò )本身就有一定負載，因此極有可能造成其他用戶(hù)不能訪(fǎng)問(wèn)網(wǎng)絡(luò )，打開(kāi)網(wǎng)頁(yè)出現超時(shí)等現象。如果是因為這個(gè)原因，則可以在入口處通過(guò)技術(shù)手段禁用這些下載軟件即可。
(3).路由器以及交換機在長(cháng)期運行后，支持軟件對內存的消耗超過(guò)了設備本身的臨界值而超負荷運行，也會(huì )導致網(wǎng)絡(luò )速度變慢。出現這種現象，分別重啟交換機、路由器以及防火墻等設備即可。
(4).帶寬滿(mǎn)足不了公司要求，建議增加公司帶寬。網(wǎng)速與公司所申請的帶寬、電路類(lèi)
型、局域網(wǎng)設備性能及參數設置、網(wǎng)絡(luò )內電腦的數量等諸多因素有關(guān)系，而在公司接入電
路后，只能是去測試實(shí)際帶寬是否能夠達到所申請的帶寬。這里提供一個(gè)簡(jiǎn)單的帶寬測試方法：通過(guò)在網(wǎng)上下載一些比較大的文件，觀(guān)察下載的流量是否能達到或接近所申請的速率(為申請速率的75%以上)。
我們可以在接入電路上接一臺PC，以便測試的結果更加接近實(shí)際效果。下載越大的文件所需的時(shí)間也就越長(cháng)，所反映出來(lái)的效果就越準確。下載所顯示的速率單位一般為字節，而電路申請的速率為比特，所以在確認測試結果的時(shí)候要注意單位的換算。若下載所顯示的速率與申請的帶寬有較大差距，則有可能是電腦的性能因素造成的，也有可能是接入電路的因素造成的，此時(shí)可向電信公司申告故障。若測試正常，而在局域網(wǎng)內下載又非常慢，那就應該查一下局域網(wǎng)內的配置了。局域網(wǎng)內電腦的數量應與所需申請的帶寬成正比。
2、排錯流程 針對上述故障點(diǎn)，建議采取以下流程來(lái)解決故障問(wèn)題。
(1).檢查網(wǎng)絡(luò )連通情況。先對公司內部網(wǎng)絡(luò )進(jìn)行聯(lián)通測試，主要對網(wǎng)關(guān)、路由器及交
換機進(jìn)行聯(lián)通測試。然后對上層交換機和外網(wǎng)IP地址進(jìn)行測試，如果一切正常則轉入下一
步操作，否則進(jìn)行設備檢查。
(2).如果公司網(wǎng)絡(luò )出口處使用了防火墻或者監控軟件，可以通過(guò)防火墻或者監控軟件來(lái)查看網(wǎng)絡(luò )連接。網(wǎng)絡(luò )出現速度緩慢，一般是因為某臺或者數臺計算機大量占用帶寬造成，也有可能是由于網(wǎng)絡(luò )風(fēng)暴造成的。防火墻管理軟件可以很方便地發(fā)現大量發(fā)包的計算機IP以及端口等信息。找到這些計算機后，切斷故障源頭，再查看網(wǎng)絡(luò )使用情況，如果正常，則解決故障源頭計算機則可。
(3).采取補救措施。對存在問(wèn)題的計算機進(jìn)行殺毒等安全檢查，確保計算機運行正常后才再接入網(wǎng)絡(luò )。有條件的話(huà)，可以對Emule、BT等軟件做分時(shí)下載限制或者禁用。
最后，希望本文提供的案例以及排錯技巧、思路對大家有所幫助。
