帮忙分析一下，dns

luzengqiu

问题如下：
      近期发现单位的dns服务器不停发送大量的arp请求，抓包检查后发现请求地址均是与dns同一网段的没有使用的ip地址。
      在dns上抓包后发现，有大量同一网段的没有使用的ip地址请求对某几个网址的解析，dns响应后，要返回信息，就会向所在网段发送广播包即arp请求包。
      开始怀疑是木马或病毒，将所在网段的所有服务器进行了排查，没有发现问题。
      然后进行断网排查，发现只要将教育网出口断掉，就正常了。
      现在一直没有找到原因。
      怀疑是外网的攻击，但是一直找不到发动者的地址。

各位大侠，有遇到过这种情况的没有，帮忙解决一下。不胜感激。

llzqq

用DNSTOP观察一下有助于发现异常情况。从LZ描述的现象初步判断有来自教育网的网络攻击

luzengqiu

我也是这样认为的，但是查不到源地址。

ruochen

这个需要很多耐心的

luzengqiu

找不到，我也不找了，只好在路由上将所有源地址地址为内网的地址全部禁止in，暂时没事了。