web-dev-qa-db-ja.com

不正なDHCPサーバーが見つかりません

過去3〜4週間にわたって、ネットワーク上で不正なDHCPサーバーを見つけようとしましたが、困惑しました。それは私のネットワークで動作しないIPアドレスを提供しているので、動的アドレスを必要とするすべてのデバイスは不正DHCPからアドレスを取得し、そのデバイスは動作を停止します。この物を見つけて破壊するのに助けが必要です！なんらかのトロイの木馬かもしれません。

私のメインルーターは唯一の有効なDHCPサーバーであり、192.160.0.150-199の範囲を提供する192.168.0.1であり、ADでこれを承認済みとして構成しています。このROGUE DHCPは、192.168.0.20から送信され、静的IPアドレスを割り当てない限り、ネットワーク上ですべてをめちゃくちゃにしている10.255.255。*の範囲のIPアドレスを提供していると主張しています。 192.168.0.20がネットワークに存在しません。

私のネットワークは、Windows 2008R2上の単一のADサーバー、4つのハイパーバイザーVM、3つのラップトップ、およびWindows 7ボックスを含む3つの他の物理サーバー（1-2008R2および2 2012R2）です。

不正な192.160.0.20 IPにpingできず、ARP -A出力に表示されないため、MACアドレスを取得できません。この投稿を読んでいる人がこれに遭遇したことを願っています。

networkingdhcp-server
44
Dave Stuart

影響を受けるWindowsクライアントの1つでパケットキャプチャ（Wireshark、Microsoftネットワークモニター、Microsoftメッセージアナライザーなど）を開始し、管理者特権のコマンドプロンプトからipconfig/releaseを実行します。 DHCPクライアントは、IPアドレスを取得したDHCPサーバーにDHCPRELEASEメッセージを送信します。これにより、不正なDHCPサーバーのMACアドレスを取得できます。これをスイッチのMACアドレステーブルで追跡して、接続されているスイッチポートを見つけ、そのスイッチポートをネットワークジャックと接続されているデバイスまで追跡できます。その中に。

53
joeqwerty

それを見つけた！！それは私のDCS-5030L D-Linkネットワークカメラでした！なぜこれが起こったのか私にはわかりません。これが私が見つけた方法です。

  1. ラップトップのIPアドレスを10.255.255.150/255.255.255.0/10.255.255.1およびDNSサーバー8.8.8.8に変更して、不正なdhcpが提供する範囲内になるようにしました。
  2. 次に、ipconfig/allを実行して、ARPテーブルにデータを入力しました。
  3. Arp -aを実行して、テーブル内のIPのリストを取得しました。不正なDHCPサーバーのゲートウェイである10.255.255.1のMACアドレスがありました。
  4. 次に、Nirsoft.netのWireless Network Watcherを使用して、見つけたMACアドレスからデバイスのREAL IPアドレスを見つけることができました。不正なDHCPの実際のIPは192.168.0.153で、カメラによって動的に取得されました。
  5. 次にカメラのWebページにログオンしましたが、以前はそれがルージュDHCPサーバーのIPアドレスである192.168.0.20に設定されていました。
  6. 次に、静的IPに切り替えて、192.160.0.20のままにしました。

今、私は私の人生に乗り出すことができます!!皆様のご支援に感謝いたします。

37
Dave Stuart

二分探索を行います。

  1. ケーブルの半分を外します
  2. それがまだある場合は、「/ ipconfig release」テストを使用します
  3. その場合は、残りの半分を切断して2に進みます。
  4. そうでない場合は、前に切断した前半の半分を再接続し、後半を切断して、2に進みます。

これにより、ネットワークが連続する2つのテストに分割されるため、1,000台のマシンがある場合、DHCPサーバーが実行されている個々のポートを見つけるために最大10回のテストが必要になる場合があります。

デバイスのプラグとプラグを抜くのに多くの時間を費やしますが、追加のツールやテクニックを追加しなくても、デバイスをdhcpサーバーに絞り込むことができるため、どの環境でも機能します。

18
Adam Davis

あなたはただ：

  • ネットワークと共有センターを開き（最初から、またはネットワークトレイアイコンを右クリックして）、青い接続リンク->詳細をクリックします。
  • ipv4 dhcpアドレスを見つけます（この例では10.10.10.10です）
  • スタートメニューからコマンドプロンプトを開きます。
  • そのIPにpingします。例：ping 10.10.10.10、これにより、コンピューターはdhcpサーバーのMACアドレスを検索し、それをARPテーブルに追加します。ファイアウォールでブロックされているとpingが失敗する可能性があることに注意してください。これは問題なく、問題を引き起こしません。
  • 行う arp -a| findstr 10.10.10.10。これにより、MACアドレスのarpテーブルが照会されます。

次のようなものが表示されます。

10.10.10.10       00-07-32-21-c7-5f     dynamic

真ん中のエントリはMACアドレスです。

次に、joeqwertyの回答に従って、スイッチのMAC /ポートテーブルでそれを調べ、それについて支援が必要な場合はポストバックします。

Wiresharkをインストールする必要はありません。

17
Aaron Tate