本帖最后由 钟勇晨 于 2019-12-9 21:00 编辑
一、问题处理过程 1、登录 AF WEB 控制台检查配置,查看外网口 eth2 属于 WAN 区域,配置了 IP 地 址 202.105.178.X/30、119.146.222.X/25;
2、在AF上抓包发现eth2口发送大量ARP报文,请求119.146.222.X-119.146.222.X 的 MAC 地址 3、在 AF 外网口 eth2 抓包发现收到目的 IP 地址为 119.146.222.X-119.146.222.Y 的数据包,经客户沟通确认运营商把公网地址网段 119.146.222.0/25 分配给客户单位, 以致运营商会转发目的 IP 地址在 119.146.222.0/25 范围的数据包给 AF; 4、检查应用控制策略,发现放通了 WAN 区域到 WAN 区域的部分数据包; 二、2.4. 问题原因分析 通过检查配置和抓包分析,判断原因为运营商转发目的 IP 地址为 119.146.222.X-119.146.222.Y 的数据包给 AF,AF 应用控制策略放行 WAN 区域到 WAN 区域的数据包,AF 会尝试转发目的地址为 119.146.222.X-119.146.222.Y 的数 据包。由于该范围的 IP 地址与 AF 接口地址 119.146.222.X/25 在同网段,以致 AF 发 送大量的 ARP 报文,请求这些 IP 的 MAC 地址;
三. 解决方案 解决方案说明 经客户同意后修改应用控制策略,取消放行 WAN 区域到 WAN 区域的数据包, 修改外网口 eth2 地址 119.146.222.X 的掩码为 30 位。后期没有再出现报该ARP攻击。 |