![这是我的网络被淹没了吗?](https://linux22.com/image/659417/%E8%BF%99%E6%98%AF%E6%88%91%E7%9A%84%E7%BD%91%E7%BB%9C%E8%A2%AB%E6%B7%B9%E6%B2%A1%E4%BA%86%E5%90%97%EF%BC%9F.png)
我注意到工作网络上的 pfSense 防火墙的带宽图上出现了这种奇怪的模式:
如果我没看错的话,有一条持续 6 Mbps 的数据流从本地网络插入 LAN 端口,但似乎哪儿也去不了。
我第一次注意到它是在上午 10:30,截至现在下午 14:45 它仍在继续。
出于好奇想知道是什么原因造成的,我检查了bandwidthd
日志,但在每日日志(间隔 4 分钟)中找不到任何明显可疑的主机。
然后我尝试使用 获取更多信息ntopng
,其中有以下内容引人注目:
这两台主机是唯一通过 MAC 地址而不是 IP 地址来标识的主机。两台主机都使用了近 6 Mbps 的速率。其中一台只发送,另一台只接收。其中一台的 MAC 地址似乎无效。根据在线数据库,另一台似乎是 TP-Link 设备。
我arp -a
在我的工作站和 pfsense 根帐户上都执行了此操作,并检查了 pfsense 仪表板上的“诊断:ARP 表”部分。没有以 开头的条目64:70:02
。
这里可能发生什么事?
答案1
您应该镜像出现此症状的端口并执行数据包捕获。这将为您提供有关确切情况的更多详细信息。
当这种情况发生在我们的网络上时,通常是路由器受到了损害,但它会破坏我们的千兆交换机,因此吞吐量超过 6mbps。
虽然有点过时了,但是阅读本文
更新 TP 设备的固件,我个人会将其恢复出厂设置并重新设置。在执行此操作之前,可能需要检查 DNS 设置是否已更改。如果是客户的路由器,则只需关闭其端口,直到他们获得新路由器。
希望有所帮助。
答案2
数据包捕获是查明流量的方法。您可以直接在防火墙上执行此操作,在这种情况下无需设置 span 端口。只需转到“诊断”>“数据包捕获”,选择接口 LAN,将计数设置为 1000,然后单击“开始”。几秒钟后,浏览回该页面,您就可以下载捕获的内容。在 Wireshark 中打开它,您应该能够看到发生了什么。