如何利用IP標識查找網絡風暴

一、什麼是廣播風暴

    廣播風暴，顧名思義，即網絡中的廣播信息所佔用的時間非常多，從而對正常的信息傳輸產生影響，輕則造成傳送信息延時，重則造成網絡性能急劇下降，甚至造成整個網絡的堵塞、癱瘓，這就是廣播風暴。那麼，產生廣播風暴常見的原因有哪些呢？

二、廣播風暴產生的原因

產生廣播風暴的原因，通常有以下幾種：

1.         網絡設備：網絡設備原因，如網卡，當網卡損壞時，也同樣會產生廣播風暴。損壞的網卡，不停向交換機發送大量的數據包，這時，就會產生廣播風暴。網卡物理損壞引起的廣播風暴，故障比較難排除，因爲損壞的網卡一般還能上網，我們可以網絡分析軟件（如科來網絡分析系統），查看網絡數據流量，來判斷故障點的位置。　　

2.         網絡環路：網絡環路的產生，一般是由於一條物理網絡線路的兩端，同時接在了一臺網絡設備中，從而形成了迴路，導致了網絡性能急驟下降，就是典型的網絡環路。　　　　

3.         網絡病毒：一些比較流行的蠕蟲病毒，如震盪波、RPC等病毒，一旦網絡中有機器中毒後，會立即通過網絡進行傳播。網絡病毒的傳播，會損耗大量的網絡帶寬，引起網絡堵塞，造成廣播風暴。　　

三、怎樣查看是否有廣播風暴

那麼，當網絡中產生廣播風暴時，我們怎樣進行查看呢？下面，我們就來討論一下如何利用科來網絡分析系統查看由網絡環路引起的廣播風暴。我們都知道，在以太網中，每一個IP數據包都有一個唯一的IP標識符來識別此數據包，那麼，在正常情況下，網絡中每個數據包的IP標識符都會是不同的，如果發現網絡中同一IP標識符的數據包非常多並且發送頻率也較快的話，這時，我們就基本可以確定網絡中存在有廣播風暴了。下面，我們就通過科來網絡分析系統進行詳細的介紹。

首先，我們打開一個工程文件，通過端點視圖（圖1）可以看到：廣播地址在較短的時間內收到了31313個數據包，流量也達到了10.332M，而發送數據包的IP地址爲0.0.0.0，流量也是10.332M，從而可以確定這臺主機在發廣播包。通過進一步的分析，由於這臺主機在運行DHCP協議，還未分配到IP地址，故IP顯示爲0.0.0.0。

（圖1 端點視圖）

然後，再通過數據包概要視圖（圖2）查看具體的解碼情況。從圖2我們可以看到，MAC地址爲00:D0:59:84:F4:10的主機一直在發廣播包，從IP標識列可以看出，其使用的IP標識均爲0x047F，0x0480，0x0481，0x047E，這幾個IP標識的數據包一直在網絡中循環發送，並且發送的頻率非常快，平均5微秒左右就發送一個數據包，從而在幾秒的時間內發送的廣播數據包達到了幾萬個，這對網絡產生了及其嚴重的影響。同時，我們就能夠確定該網絡中存在廣播風暴，影響了網絡性能。

（圖2 數據包概要視圖）

同時，需要注意的是科來網絡分析系統的數據包解碼視圖有一個從屬聯動關係，如在圖3的數據包字段解碼圖中選擇了標識字段，則圖2的數據包概要視圖的IP解碼列就顯示IP標識符；如在圖3中選擇版本字段，則圖2的IP解碼列就顯示IP版本爲4；如選擇其他字段，則IP解碼列也就會顯示相應的信息。

四、總結

通過對此次故障原因分析，發現主要是由於網絡中有環路存在，造成數據包在網絡中重複廣播，引起了廣播風暴。所以，通過科來網絡分析系統的端點視圖與數據包視圖的結合，對IP數據包的IP標識符進行分析，我們就能很容易的查看出網絡中是否存在廣播風暴。