Entradas estáticas do cache ARP incorreto

Question

Eu tenho um problema estranho que apareceu em nossa rede.

Uma ou duas vezes por semana, um usuário (é sempre um usuário diferente) reclamaria de não poder se comunicar com o Small Business Server 2003 que lida com o Exchange, DNS e compartilhamento de arquivos, essencialmente cortando a máquina de qualquer tipo de rede comunicação.

Quando verifico a tabela ARP nesse servidor específico, há uma entrada ARP estática mapeada para o endereço IP da estação de trabalho em questão com um endereço MAC completamente diferente. Se eu excluir manualmente a entrada estática, a máquina estará novamente on-line. O estranho é que é sempre uma máquina diferente que tem esse problema.

Para a vida de mim eu não consigo descobrir o que está definindo essas entradas ARP estáticas no servidor e me forçando a cada vez para ir e removê-lo manualmente para trazer a estação de trabalho de volta online.

Nosso ambiente é bastante pequeno (20 estações de trabalho e 2 servidores).

Qualquer ajuda é apreciada.

    

Answer 1

Tente identificar se o endereço MAC pertence a qualquer equipamento em sua rede. Você pode procurar endereços de fornecedores aqui .

Você tem um ponto de acesso sem fio na sua rede, ele está protegido? procure os endereços MAC de qualquer dispositivo conectado. Normalmente, você pode visualizá-los a partir do ponto de acesso.

Você tem alguma máquina virtual em execução em qualquer estação de trabalho ou servidor?

É sempre o mesmo endereço MAC que aparece na tabela arp?

E os caches arp no seu switch de rede e roteador (se eles permitem visualizá-los) os IP / MACs correspondem à tabela no seu servidor no momento em que você tem um problema? O powercycling do switch / roteador faz alguma diferença?

    

Answer 2

Existe alguma chance de que alguém esteja executando ettercap ou um ataque semelhante ao estilo de envenenamento de caching de arp em sua rede?