腾科网络离奇遭劫持 冒牌DHCP服务器是元凶
大到连接数亿台主机的互联网，小到只有几台桌面终端的公司局域网，都是架构在 TCP/IP协议基础上的网络，于是，每一台接入的设备都必须有一个 IP 地址。也就是说，要为接入设备正确地设置IP 地址、子网掩码、网关和域名解析服务器等参数之后才能连通网络。
在网络知识方面，大部分人都是小白，要他们进行这么复杂的操作，真是太难为宝宝了。于是，网络的设计者们发明了一个叫DHCP的协议，允许网络中有一台DHCP服务器，自动为每一位接入网络的小白——确切地说，为小白的电脑分配IP地址。是不是很方便？
9月12日上午8点半左右，广州腾科的网络培训老师李广发现自己无法上网。网络的问题，对于通过华为HCIE高级认证的李广老师来说，并不是一件难事。他通过分析网络数据包发现，公司局域网内多出一台DHCP服务器，IP地址是192.168.1.1，与正牌的DHCP服务器冲突。一时半会儿，李广老师没能分析出这台冒牌DHCP服务器能抢占正牌DHCP服务器风头的原因，也没有找到是谁这么胆大妄为，敢在光天化日之下瘫痪了公司半壁网络。这个人是有意攻击，还是无意中做了一件蠢事，也不得而知。
李广老师问坐在对面的一位同事：是不是在搭建VMware虚拟机？对面的同事回答说没有权限，也没有做什么试验。09：25左右，李广老师仍然没有定位到始作俑的计算机的位置，便在公司工作微信群里问：“请问谁在vm的虚拟机做实验DHCP桥接到公司网络上了？”他还发布了VMware虚拟机的IP地址和MAC地址。唐总发消息回应道，怪不得我上不了网。老板上不了网，得尽快解决问题。网管吴宗庭也来找李广老师，证实一件事情：公司内有一部分人可以上网，另一部分人无法上网。于是，两个人一起查找原因。
经过分析查证，李广老师找到了原因：公司的核心交换机对公司局域网络内所有的DHCP服务器一视同仁，并不加以区分。一台电脑开机后，便会在网络内询问：谁是DHCP服务器？正常情况下，局域网内只有一台DHCP服务器，一切会工作正常。如今，又多出来一台，而且，这一台与新开机的电脑“离得更近”，所以，新开机的电脑对冒牌DHCP服务器深信不疑，还接受了冒牌 DHCP 服务器分配的 IP 地址等参数，导致它与公司网关不在同一网段，链路不通，最终无法上网。在冒牌 DHCP 开机前开机的电脑，是由正牌DHCP服务器授予的IP，不受影响，都可以正常上网。所以，公司网络内，一部分人可以上网，一部分不可以上网。
问题找到了，启动冒牌DHCP的人还没有找到。李广老师和吴宗庭越来越觉得，坐在对面的那位老师很可疑。于是，他们将所在办公室的网络切断，将那位老师接入网络的通道切断。不巧的是，问题依然存在。
吴宗庭不死心，拔掉了为整排座位提供网络接入的集线器的电源。可是，那台讨厌的冒牌DHCP服务器仍然存在。这样一来，那位老师就清白了。因为，他的电脑已经从公司的网络中隔离出来。
又过了一个多小时，他们突然想到公司还有无线网络。于是，吴宗庭搬来梯子，把挂在墙上的无线AP取下来，断了电。那一刻，冒牌DHCP服务器终于从公司网络上彻底消失了。再次询问坐在对面的那位老师：“张老师，你还能上网吗？”
坐在对面的张老师打开网络连接，发现自己无法上网，固网和WiFi无线网都不通。李广老师走过来查看张老师的虚拟网卡的MAC地址，赫然就是他们正在苦苦寻找的00:0c:29:6d:05:c9！张老师的电脑同时连着固网和无线网络。
尽管将公司的半拉网络中断了两个多小时，张老师不思反悔，还忿忿不平。他认为他只是在虚拟机内运行一个DHCP服务器，又不是直接在自己电脑的操作系统上启动DHCP服务。而且，要是这样的试验就能瘫痪公司的网络，那根本就是网络的设置有问题。
公司30间教室的小网络，分布在被交换机、路由器分割为十几个网段内，十多年以来，经过N位“兽医多了整死牛”的网管和网络工程师之手，早已变得盘根错节，异常复杂。李广老师意识到核心交换机肯定有防范这种攻击的方法，简单地要求张老师不要启动DHCP服务器并不能解决问题。今后，可能还会有王老师、黄老师，甚至是腾科培训课堂内的学员要做类似的试验。
李广老师翻阅核心交换机的资料文档，终于找到解决方案：只需要在核心交换机上将真正的DHCP服务器设为“可信的DHCP服务器”即可。其他的没有这个标识的DHCP服务器，一概不予理睬。于是，这个潜伏很深的网络配置问题，在追捕冒牌 DHCP 服务器的过程中，顺利地得以解决。
18922156670
