紧急求解：虚假dns请求引发的arp请求包过多问题

luzengqiu

问题如下：
      近期发现单位的dns服务器不停发送大量的arp请求，抓包检查后发现请求地址均是与dns同一网段的没有使用的ip地址。
      在dns上抓包后发现，有大量同一网段的没有使用的ip地址请求对某几个网址的解析，dns响应后，要返回信息，就会向所在网段发送广播包即arp请求包。
      开始怀疑是木马或病毒，将所在网段的所有服务器进行了排查，没有发现问题。
      然后进行断网排查，发现只要将教育网出口断掉，就正常了。
      现在一直没有找到原因。
      怀疑是外网的攻击，但是一直找不到发动者的地址。

截图：
图中的左侧为源地址，右侧为目的地址，都是一个网段的，源地址都是没有使用的地址。
各位大侠，有遇到过这种情况的没有，帮忙解决一下。不胜感激。

luzengqiu

&pid回复 1# luzengqiu


    自己顶顶。

luzengqiu

没人知道吗？

cadeerty

这种源地址是伪造的，如果你的dns服务器只是提供给内部使用的缓存服务器的话，可以考虑在网络设备或服务器上拒绝外来的dns请求。

luzengqiu

解决了。

aaaaa5aa

怎么解决的？

luzengqiu

头疼，dns是没事了，现在是网关发送arp请求，找一些根本没有使用的ip。疑似有人在进行网络扫描。

aaaaa5aa

现在是什么情况?

flb_2001

难道是ARP病毒的变种，胁持DNS？

想去看火

我现在也遇到同样的问题，楼主能不能共享一下经验啊，谢谢。