Localizar servidor DHCP desonesto [duplicado]

27

Eu sei que este é um tiro longo e sério, mas aqui vamos nós.

Na última semana, para usuários conectados a um determinado switch em nossa rede (há quatro switches burros todos conectados, e isso afeta apenas ALGUMAS, não todos, usuários no único switch) estão obtendo endereços DHCP de um servidor DHCP desonesto.

Eu verifiquei fisicamente cada cabo conectado ao switch em questão para ter certeza de que nenhum deles tem um roteador ou ponto de Wi-Fi conectado a ele. Eu conheço o IP do servidor DHCP, mas não consigo fazer o ping e ele não tem uma interface web.

Alguém tem alguma sugestão sobre o que posso fazer para localizá-lo ou desativá-lo? Infelizmente todos os switches não são gerenciados e, como mencionado, não há nenhum dispositivo físico (que eu possa encontrar) conectado a qualquer coisa.

Está ficando crítico, porque está estragando a inicialização PXE de um monte de thin clients.

    
por Mark Henderson 12.01.2010 / 02:26

5 respostas

19

Tente nmap usar o -O para detectar o sistema operacional, pode dar uma idéia melhor de qual servidor é? Também executar uma varredura de porta padrão pode ajudar a descobrir o que é

    
por 12.01.2010 / 02:29
11

O fato de você não poder fazer o ping não é um problema.

(Este procedimento é principalmente para switches gerenciados, no caso de seus switches mudos, não é tão útil, já que você não pode inspecionar a tabela de cames ... mas de qualquer maneira.)

  1. execute ipconfig / all (ou observe o syslog), observe o endereço IP listado para "Servidor DHCP". Geralmente, isso é o mesmo que o gateway padrão.
  2. tentativa de pingar este endereço IP, ignore o resultado.
  3. execute arp -a. O endereço mac listado para o IP é o seu servidor DHCP desonesto.

Assim, no seu caso, você não pode acompanhar isso com a localização do switchport e desativá-lo, mas você poderia ter pelo menos procurado o fornecedor de endereços mac e teria descoberto que o fornecedor era algo como vmware ou virtualbox.

Se você tem uma caixa por aí, você pode instalar o link , que irá notificá-lo se um problema como este ocorrer o futuro.

    
por 12.01.2010 / 03:08
8

Bem, você pode sempre tentar dar uma olhada e ver as luzes piscando nos roteadores. = P

O traceroute mostra alguma coisa para você?

    
por 12.01.2010 / 02:57
7

Eu sei que isso já foi resolvido, mas outro meio, quando você realmente não consegue encontrar a máquina (sabendo que uma VM não lhe diz em qual host ela está) é continuar enviando solicitações DHCP e desconectar cada cabo. vire até que ele feche. Às vezes você só precisa voltar ao básico.

    
por 12.01.2010 / 07:05
4

Execute o Wireshark para obter o endereço MAC do servidor. Ele deve pelo menos informar o fabricante (endereços MAC são alocados centralmente e cada fabricante recebe um conjunto de endereços).

    
por 12.01.2010 / 03:13