Question

局域网内某些电脑频繁断网

我负责单位网络维护，最近一段时间经常出现某几个网段内个别用户上网十几二十分钟就断网的情况，重启电脑或重启网卡可恢复网络。这是总体情况，下面分条详述：
单位网络拓扑，电信100M的网进机房，电信光猫——路由器——上网行为管理（网康设备）——核心交换机（机房）——汇聚交换机（楼栋）——桌面交换机（楼层）——终端（用户）；每个桌面交换机划分一个vlan，底层交换机都是傻瓜交换机；
认证，用户上网通过网康设备绑定mac地址上网，都已绑定好，认证没有问题；
线路，目前出问题的几家用户都有两台电脑，都在家接有交换机，也都是一台上网时断时续，一台上网完全正常，主线路没问题；单独测线仪测交换机到电脑之间的线路也没问题；
ARP攻击，出问题的终端全都绑定了静态网关，理论上杜绝了ARP攻击；XP系统的电脑我也写了个用arp -s绑定了静态网关的.bat文档，开机启动；
早上我去了一问题户家里，刚开机上网正常，arp -a显示网关表象正常，且静态绑定，不过还有多条其他的地址，貌似是公网的IP，我没管；ping网康设备，ping的通；大概20多分钟后断网，网康设备也ping不通了，接在同一入户交换机另一台电脑正常。我在问题电脑上使用arp -d命令，网络恢复，也ping的同，arp表象只剩一条网关地址，正确的，且是动态的；
之后我又到桌面交换机抓包，arp请求包与回复包皆正常，之后的两个多小时问题电脑也没断网，到中午我就吃饭走了，笔记本还在桌面交换机那抓包在；
目前就是这样的情况，大神们帮我出出主意，我快走投无路了。我怀疑还是有ARP攻击，只是我抓包那会可能那B关机了，但是这个又说不通，我在电脑上已经静态绑定网关，还能被攻击吗？大神救命啊救命啊，帮我想想可能是哪方面不足也是好的，谢谢了，好人一生平安！！！

Answer 1

因为你把具体的网络环境没有说明,所以我认为你以下几种可能:
1.,因为电脑多,可能超过防火墙的最大允许量,所以出现这样的情况.
2.电脑多了,所以需要的交换机或者HUB相应的也多了,其中有中间设备出现问题而引起的
3.其中有电脑中毒,不停的发包,而导致网络阻塞.
你分别根据情况进行检查.

追问

1，好的1、2条我去看看设备的最大用户数是多少。你能确定超出最大用户数会造成这样的情况吗？
2，第3条里面的中毒，不停的发包，这一点我不是特别清楚，是单指ARP欺骗包吗？，静态绑定网关可否解决？大量发udp、tcp包也会出问题吗？

可能我比较啰嗦，但关系到吃饭，谢谢你回复。

Answer 2

你这问题太恼火了，如果是固定几家用户出问题，这个办法行不行：
找个有防火墙的路由器依次测试出问题的网段，看能不能排查出故障设备或者攻击者

Answer 3

要知道，物理地址是可以被克隆滴，一旦其中一台机器的地址被捕获，呵呵呵~~~建议想另外的办法解决。

追问

嗯，谢谢，不过你能说清楚点吗，一旦其中一台机器的地址被捕获是什么意思？这一点我不太懂

追答

这里所说的捕获，一是指对方通过动态IP，反向侵入本地机器，从而截获了其物理地址；二是指对方实地在对方电脑上查看到过其网卡的物理地址，这都有可能。

追问

攻击者获得了mac地址，然后在自己电脑上使用这个地址，我这边就会断网是吗？

追答

呵呵~~没错。因为在所有网络服务器上，当出现两个完全相同的mac时，那么只有一个mac能被识别，另一个则被屏蔽。