网络丢包原因之病毒扫描攻击

   在管理维护局域网的过程中，我们时常会遇到网络传输延迟导致上网连接时断时续的现象，或者出现上网速度异常缓慢的现象，这些现象几乎大多都是由网络 数据丢包引起的。那么，我们该如何准确、有效地解决这些故障现象呢？为此，本文从实战角度出发，为大家贡献一则网络中断故障的详细排除过程，希望大家能从 中获得启发！

    故障回放

    笔者所在单位局域网大约包含100台计算机，一般情况下同时接入到局域网网络的有70台左右，平时局域网网络运行一直非常稳定。最近，局域网网络运行发生 了异常故障，具体现象为：单位局域网网络突然发生网络传输中断故障，网络内部的计算机都不能顺利访问到Internet网络中的内容。在单位局域网机房中 的某台计算机上使用ping命令测试网络核心交换机的管理地址时，发现数据丢包现象比较严重，而且Ping命令响应时间也比较长，从局域网其他普通计算机上Ping测试二级交换机的连通性时，笔者发现数据丢包现象更为严重。

    故障排查

    面对这种故障现象,笔者经过仔细分析初步认为该故障多半与广播风暴、网络病毒攻击、路由器 或交换机ARP表更新等因素有关。为了进一步定位故障原因，笔者通过网络线缆将自己的笔记本电脑连接到单位局域网的核心交换机上，并运行专业分析工具来对 数据通信包进行捕获，在对捕获结果进行仔细分析后，笔者发现同时连接到局域网网络中的IP主机竟然超过了100台，这说明单位局域网网络中可能有相当一部 分IP主机是属于伪造的，局域网工作环境中此时可能存在自动伪造IP地址的扫描攻击。

    仔细对其中的网络连接信息进行查看后，笔者惊讶地看到大部分网络连接几乎都是由IP地址为10.176.6.118的计算机发起的，也就是说大部分网络连 接的源地址无一例外地都是10.176.6.118。后来在专业网络分析程序的帮助下，笔者又详细查看了来自10.176.6.118的数据包解码信息， 结果看到IP地址为10.176.6.118的这台计算机正在对单位局域网主机的445网络通信端口进行自动扫描攻击，看来局域网中有非法用户正在IP地 址为10.176.6.118的这台计算机上通过专业扫描工具对局域网网络进行主动攻击，或者是IP地址为10.176.6.118的这台计算机可能已经 被网络病毒意外感染。

    找到网络通信中断产生的故障原因后，笔者立即找到那台IP地址为10.176.6.118的目标计算机，并毫不犹豫地将该计算机从局域网网络中隔离开来； 果然，当笔者再次使用专业分析工具来对数据通信包进行捕获分析时，发现局域网网络此时的数据丢包现象有所减轻，不过这种数据丢包现象依旧没有彻底消失。

    会不会是局域网中还有其他病毒扫描攻击行为？笔者不放心，特地又重新运行了专业的网络分析工具，来捕获分析在局域网网络中传输的数据包，工夫不负有心人， 笔者这次果然又找到了两台与10.176.6.118主机情况极为相似的计算机。根据之前的筛查判断，笔者几乎断定IP地址为10.176.6.118的 计算机和新发现的两台计算机都被意外感染了网络病毒，这种类型的网络病毒会主动扫描局域网中其他计算机，以便检查对应的计算机有没有开通445网络通信端 口，一旦扫描攻击发现其中某计算机开通了445网络通信端口，那么这台计算机就会被强行感染上网络病毒。如此循环，整个局域网网络自然就容易发生突然中断 的故障现象。

   弄清楚了网络中断现象的具体原因后，笔者先是将感染了网络病毒的计算机全部从局域网网络中隔离开来，之后使用专业的杀毒工具，对隔离开来的几台计算 机进行了全面彻底地病毒查杀操作，结果还真找到了许多网络病毒。待网络病毒查杀操作结束后，笔者尝试着这几台计算机重新连接到局域网网络中，之后又进行了 一次数据包捕获分析，结果发现数据丢包现象彻底消失；之后，笔者随意找了几台局域网普通计算机，从中进行网络访问测试操作，测试结果表明网络传输速度很 快，很长一段时间都没有出现上网速度异常缓慢现象。

    当然，造成网络数据丢包现象的因素有很多，除了网络病毒以及扫描攻击外，如果局域网中存在环路故障或者局域网设备发生了硬件损坏故障，都有可能导致网络传 输数据丢包或延迟。所以，通过上面的方法如果还无法让网络中断故障恢复正常时，我们还需要对各种可能因素进行逐一排查。