forum.lissyara.su

Вот собственно постоянно валит в лог вот это. И у меня появляются подозрения что из за этого периодически падает целая подсеть. Система - Фряха 7.0. Как этого избежать?

закрыть файрволом, поищите по-форуму, я писал, как это делать.
но могу ошибаться...

Jul 17 12:30:08 router kernel: arp: 172.16.25.170 moved from 00:0e:a6:6c:8d:29 to 00:13:d4:95:34:96 on vlan25
Jul 17 12:30:10 router kernel: arp: 172.16.25.170 moved from 00:13:d4:95:34:96 to 00:0e:a6:6c:8d:29 on vlan25

Кому принадлежит 172.16.25.170 ?

может и какая то кривизна в топологии, оборудовании
или еще в чем то

смотреть надо на вашу топологию и системы что там да как

ну я пока воспользовался вот этим вроде помогает
http://netoptima.in/arprotect/

вообще, лучьше апаратными средствами пользоваться..

это вирус. у мну такое уже 2-ю неделю продолжается.
вир прикольный, подставляет всей сети мак-адрес зараженной машинки.
как закрыть еще не знаю.

если резать фаеров на шлюзе, то не поможет, т.к. фря тоже видит, что запрос пришел с этого мака, т.е. типа для любого ИПа в сети подставляется один и тот же мак. пока борюсь только административными способами. звоню и говорю что б вытащил шнурок из компа и сканил на виры, обычно после проверки на виры все проодит.

может дец не в тему, народ, а можно как-нить сделать так:
внедрить dhcp в сети, а затем запретить трафик от юзеров к серверу, которые сами выставили себе ИП? Типа если ДХСП не выдал ИП, сервер не обрабатывает запросы от этого хоста?

schizoid писал(а):может дец не в тему, народ, а можно как-нить сделать так:
внедрить dhcp в сети, а затем запретить трафик от юзеров к серверу, которые сами выставили себе ИП? Типа если ДХСП не выдал ИП, сервер не обрабатывает запросы от этого хоста?

Запретить такой трафик ты сможешь только поставив L2 свитчи управляемые и разрешив передачу трафика только на аплинки.

schizoid писал(а):это вирус. у мну такое уже 2-ю неделю продолжается.
вир прикольный, подставляет всей сети мак-адрес зараженной машинки.
как закрыть еще не знаю.

если резать фаеров на шлюзе, то не поможет, т.к. фря тоже видит, что запрос пришел с этого мака, т.е. типа для любого ИПа в сети подставляется один и тот же мак. пока борюсь только административными способами. звоню и говорю что б вытащил шнурок из компа и сканил на виры, обычно после проверки на виры все проодит.

Что за вирус?

Это больше похоже на Man-In-The-Middle атаку... что за сетка? домовуха какая нить?

Если в терминологии NOD32 то это скорее всего (или его разновидность) Nab32/Alman. Борьба против этого вируса - свежие базы антивируса. Находите мак или ИП который чаще всего засветился в логах и выключаете эту машину из сети. После этого МАКи должны вернуться назад, поэтому в логах можете наблюдать, как буд-то спуффинг продолжается.

примерно так. на счет какой это вирус, хз, я его не ловил.
помогает обновление антивиря, отключение чела от сети физически, лечение и подключение назад.

LMik писал(а):

schizoid писал(а):может дец не в тему, народ, а можно как-нить сделать так:
внедрить dhcp в сети, а затем запретить трафик от юзеров к серверу, которые сами выставили себе ИП? Типа если ДХСП не выдал ИП, сервер не обрабатывает запросы от этого хоста?

Запретить такой трафик ты сможешь только поставив L2 свитчи управляемые и разрешив передачу трафика только на аплинки.

собсна так и думал, думал ...а фдрух...аж таки нет.

skeletor писал(а):Если в терминологии NOD32 то это скорее всего (или его разновидность) Nab32/Alman. Борьба против этого вируса - свежие базы антивируса. Находите мак или ИП который чаще всего засветился в логах и выключаете эту машину из сети. После этого МАКи должны вернуться назад, поэтому в логах можете наблюдать, как буд-то спуффинг продолжается.

Добавлю что НОД32 этот вирус месяца 2-3 не ловил. лечили Касперским, CureIt и Avast - они где то через недельку друг от друга в перечисленном порядке начали детектить.