Problema com servidor DHCP

[lucianogf]

Fala galera, como estão as coisas??

Pessoal, no servidor de um cliente, um provedor wireless, os clientes pegam IP através de DHCP, mas de ontem pra hoje começou a aparecer mensagens DHCPDECLINE, e os clientes não navegavam...

Verifiquei as configurações do DHCP e estavam OK, reiniciei o DHCP e não adiantou, reiniciei o servidor e voltou a funcionar, mas pouco tempo depois continuou o problema.

ao checar a talela arp vi que tinham vários IPs com o mesmo MAC, achei estranho isso.. muito estranho...

então derrubei a eth0, que é ligada ao AP, e levantei novamente, tudo voltou ao normal... mas em pouco tempo os IPs estavam todos com o mesmo MAC, mas desta vez era um MAC diferente...

ao verificar as movimentações arp com o tcpdump (tcpdump -i eth0 -vv -n arp), vi que aparecia "arp reply <IP> is-at <MAC>", e fazia isso com todos os endereços IPs, assim colocava o mesmo MAC para todos novamente...

as vezes tinha uma mensagem do tipo "arp who-has 192.168.10.253 tell 192.168.10.1", sendo que o micro com ip .253 estava desligado...

Com relação aos IPs, derrepente, receberem o mesmo MAC, o que pode estar havendo??

Passou pela minha cabeça que o servidor poderia ter sido hackeado, será?

alguém já viu algo parecido??

valeu

[xstefanox]

Pode ser que alguém esteja clonando MAC addresses dos seus clientes.

[lucianogf]

isso é possível, mas o acontece que a tabela arp muda derrepente...

no instante que eu digito arp -a e vejo os IPs e seus respectivos MACs, derrepente todos os MACs mudam e ficam repetidos...

[glauber_soares]

Qual seria seu ap ? Verifique se seu AP não esta clonando mac.

[lucianogf]

é um AP2000...

após várias análises, bloqueio de alguns clientes suspeitos, troca de ssid, o problema parou temporariamente...

como poderia ver se o AP está clonando os MACs?

[glauber_soares]

Você ver se os macs que esta aparecendo. bate com o do seu AP.
Você tem mais algum equipamanto na rede? O problema ainda persiste?Qual cartão você esta utilizando?

[lucianogf]

nao nao cara..

em nenhuma vez o MAC repetido era o do AP, sempre era de algum cliente..

no AP tem cartão orinoco..

é como falei, depois que fiz o que está acima, os problemas pararam..