Eu tenho feito alguns sniffing na rede da minha empresa para tentar limpar um pouco do tráfego e notei que um dos nossos controladores de domínio Server 2008 está enviando ARP cada segundo ou dois para cerca de 15 endereços diferentes no 169.254. Sub-rede 0.0 / 16. O controlador de domínio está na sub-rede 10.10.0.0/23. Alguém tem alguma idéia do que poderia estar causando esses ARPs? Tanto quanto eu posso dizer que não há clientes na rede com endereços 169.254.x.x, então não tenho idéia do motivo pelo qual o DC está tentando localizá-los.
O servidor possui duas NICs, mas apenas uma delas está conectada. Eu desabilitei o NIC não utilizado ontem quando notei o ARPing para ver se isso mudaria alguma coisa, mas de olhar de novo hoje, não o fez.
A saída ipconfig / all é:
Windows IP Configuration
Host Name . . . . . . . . . . . . : server-snip
Primary Dns Suffix . . . . . . . : snip.com
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : snip.com
Ethernet adapter Local Area Connection 3:
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel(R) PRO/1000 GT Desktop Adapter
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes
Link-local IPv6 Address . . . . . : fe80::885:cbff:b468:f229%13(Preferred)
IPv4 Address. . . . . . . . . . . : 10.10.0.63(Preferred)
Subnet Mask . . . . . . . . . . . : 255.255.254.0
Default Gateway . . . . . . . . . : 10.10.0.6
DNS Servers . . . . . . . . . . . : 10.10.0.63
10.10.0.64
NetBIOS over Tcpip. . . . . . . . : Enabled
Tunnel adapter Local Area Connection* 9:
Media State . . . . . . . . . . . : Media disconnected
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : isatap.{CD1C279E-711E-4426-84F6-FD1FF423B
521}
Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP Enabled. . . . . . . . . . . : No
Autoconfiguration Enabled . . . . : Yes
A causa dos ARPs é que existem alguns hosts em outras sub-redes com os endereços 169.254.0.0/16 e estão tentando acessar o NTP no Windows Server. Nosso roteador está roteando o tráfego, mas é claro que o Windows Server não tem idéia de como responder. Eu ainda tenho que descobrir porque esses hosts não estão obtendo endereços DHCP, mas pelo menos eu sei que o Windows Server não é o culpado.
Se tudo mais falhar em identificar a causa e ipconfig /all não mostrar nenhum adaptador vinculado a esse intervalo, você poderá usar Monitor de Rede para identificar o tráfego de origem do processo.
Se o processo for spoolsv.exe , por exemplo, você saberá procurar por impressoras configuradas nesses endereços.