两个路由器冲突，如何在不动路由器的情况下把设备封杀？

[wzf1]

求助。在外面租房，有个 sb 连接了路由器，估计是路由器没有自己设定 192.168.0.1，用了 192.168.1.1，就跟主路由.1.1 冲突。这种情况，我直接改了主路由地址，改成.0.1，这样问题就来了，所有人获取到的 ip 都是.1.X，无法上网。唯一方法就是改掉冲突路由器的地址。问题是不知道他的登陆密码，所以我想把那台路由器拉黑，获取到对方 MAC 地址后惊奇地发现，.1.1 主路由根本看不到这台设备，那又如何拉黑？

路由器有多个 mac 地址，lan 口一个，wan 口一个，这两个地址就最后一个字母不同。但是，主路由管理页面没找到相近的 mac 地址。

具体网络冲突的表现，就是上网突然就解析不了了，访问 192.168.1.1，出现对方路由器的登陆页面，一会后刷新，出现主路由的登陆页面。对方路由器的型号是 TL-WR886N，主路由是 TL-WDR5600。

这台路由器到底怎么回事？我很清楚没有交换机，这台路由器到底怎么接的？为什么无法拉黑？

wireshark 抓包： https://s1.ax1x.com/2018/11/02/ihWAdP.png https://s1.ax1x.com/2018/11/02/ihWEIf.png https://s1.ax1x.com/2018/11/02/ihWZi8.png https://s1.ax1x.com/2018/11/02/ihWkZt.png 7c 结尾的是我的设备，28 是冲突路由器，62 是主路由器。管理页面中，唯一有线连接设备是我的。

已经确认：
1.对方路由接了 LAN 但是没关 DHCP。
2.电脑直接绑定主路由 MAC 即可解决。关键是我想再接一个路由，网络就时断时续了。
3.主路由改到.0.1，我的设备设置静态 IP，能正常上网。但这样做，除我之外所有人都获取到.1.X 的地址，上不了网。
4.ARP 表不存在他的设备，也就无法拉黑。
5.找个时间一根一根网线拔掉，看看是谁。

AP 隔离没用

已解决。解决方法：把主路由改为 .0.1，我的路由器静态 ip 改 .0.xx ，连上主路由上网，其他所有人获取到 .1.X 的地址，上不了网，但能访问 .1.1。所有人炸锅了，房东回来，一根一根拔网线，拔到哪一根时 .1.1 访问不了，就是他了。我再出来科普一下，完美解决。

这个人实在是人才，把网线接到 lan 口，这样做是一定没网的，他还要开着路由器。

把主路由的 lan 口接到次路由的 lan 口，并关闭 DHCP，可以实现桥接。

把主路由的 lan 口接到次路由的 lan 口，并关闭次路由的 DHCP，可以实现桥接。

[swulling]

这样问题就来了，所有人获取到的 ip 都是.1.X，无法上网。

为什么？ DHCP 没有配好吧。

[wzf1]

@swulling DHCP 配置为： https://s1.ax1x.com/2018/11/02/ihfnk6.png

[wqjdzh]

拔掉他的网线。否则没办法.

[swulling]

大概知道了，那个人把路由器的 LAN 口接到了主路由的 LAN 口上，你只能去找他了…

[chinvo]

那个人的路由接了 LAN 但是没关 DHCP

[tyhunter]

好复杂的问题....
不从技术角度出发，敲门沟通帮他换下路由地址解决下？
还是说，你根本不知道是谁接了这台路由，那直接把他接到主路由的线拔了等他出来自己呢？

[BOYPT]

所有接口接入个可管理的交换机，打开 DHCP snooping 功能，只允许路由器那个端口下发 DHCP。

[wzf1]

@tyhunter 是的，完全不知道他是谁。主路由在房东房间，em....

[wuxiao2522]

手动设 IP 可解

[calpes]

openwrt,有强制使用本机 dhcp 服务功能

[zpf124]

解决方案是 你也带一个 路由器回去 lan 口接上 ，开 dhcp。

一个网络里搞他 3、5 个路由器，让大家谁都上不去，所有人都炸窝了自然问题就浮出水面了。

[goofool]

你的路由器不还是 1.1 吗，看抓包也没改成 0.1

[calpes]

或者你也接个路由器，手动设置 ip，然后设备连接你这个路由，强制使用你这个路由的 dhcp 就完了

[gamexg]

你的设备回应 dhcp 包比他的慢，其他设备使用了对方路由器分配的 ip 及网关。

无解，
如果只是自己能够上网倒是挺简单的，直接 arp 静态绑定真实路由器的 mac 地址。

[wohenyingyu02]

路由器怎么可能往 wan 口发 dhcp，只怕是插错口了吧，在 arp 表里拉黑他的 mac 即可

[wzf1]

@goofool 后来改回.1.1 了，否则其他人上不了网

[wzf1]

@calpes 不行，我接个路由，设置.0.1，手机设备设置静态 ip，网络时断时续。

[wzf1]

@wohenyingyu02 arp 表不存在他的设备，也就无法拉黑

[wzf1]

@wuxiao2522 你指的是电脑指定连接主路由 mac ？这个没问题，问题是我想再接一个路由器，那个路由器就不行了。

[wzf1]

@gamexg 是的，电脑直接绑定主路由 mac 即可解决。关键是我想再接一个路由，网络就时断时续了。

[gamexg]

@wzf1 #20 另接路由器，那么改网段，
主路由改到 0.1，自己的 ip 和自己的路由器全部选择手动指定 ip，设置为 0.x，问题解决。

[wzf1]

@gamexg 这样做，除我之外所有人都获取到.1.X 的地址，上不了网

[wzf1]

@wohenyingyu02 他的设备假如没有往 wan 口发 dhcp，那我又是怎么接收到这个包的呢？我是直接连接的主路由 lan 口，不在他的子网下。

[wohenyingyu02]

@wzf1 他把猫接在了 lan 口？

[wzf1]

@wohenyingyu02 这有可能，太聪明了这个人，实在是高明！

[CCNemo]

开启强制 DHCP 模式

[datocp]

没有网管交换机本身就制止不了两个 dhcp 服务器的存在，运气好的话 openwrt 有 ebtables，但这也仅能解决 ap 连接的网络中出现两台 dhcp 服务器,ap 使用 ebtables 屏蔽其中一台 dhcp 服务器。

[cnnblike]

arp 攻击到房东来管啊，哪有这么复杂

[Lentin]

弄个二层交换机划 vlanˊ_>ˋ

[xenme]

把他放到独立的 vlan 里面和其他 lan 口隔离开就行了，他随便玩。

[wzf1]

已解决。解决方法：把主路由改为 .0.1，我的路由器静态 ip 改 .0.xx ，连上主路由上网，其他所有人获取到 .1.X 的地址，上不了网，但能访问 .1.1。所有人炸锅了，房东回来，一根一根拔网线，拔到哪一根时 .1.1 访问不了，就是他了。我再出来科普一下，完美解决。

其实这就相当于 ARP 攻击，问题是 ARP 攻击可以损人利己，但这个人没有任何好处。这个人实在是人才，把网线接到 lan 口，这样做是一定没网的，他还要开着路由器。

假如我做房东，一定会买个企业级路由器或者交换机，丢弃用户不正常的 ARP 包。这样也杜绝了 ARP 攻击的可能。


@wohenyingyu02 @datocp @cnnblike @Lentin @xenme @gamexg @swulling

[chinvo]

@wzf1 #31 其实他可能想用桥接，就是把路由当交换用，但是忘记关 DHCP

[wzf1]

@chinvo 有可能。但这种情况他应该是没网的，他还要一直开着路由器。

[cigarzh]

想干房东还得会点 network 哈哈哈😄

[xenme]

这不是 arp，这只是两个 dhcp 冲突，运气好，主路由 dhcp 结果就 OK 了，关掉 dhcp 就好了。

[wzf1]

@xenme 抓包结果就是跟 arp 攻击一模一样。我：who has 192.168.1.1 ? tell 192.168.1.xx 主路由：192.168.1.1 is at xx-xx-xx-xx-xx 他的路由：192.168.1.1 is at xx-xx-xx-xx-xx arp 攻击也是一样的：192.168.1.1 is at xx-xx-xx-xx-xx

[honeycomb]

有网管交换机的话就好办了，配置只允许特定网口执行 DHCP 服务的限制

[xenme]

@wzf1 这就是个标准的 dhcp 请求而已

跟 arp 完全不一样

[leoojiang]

场景完全不明白……敲门沟通 有难度？

[wzf1]

@xenme 这是 ARP 攻击抓到的包 https://s1.ax1x.com/2018/11/03/i4yfDP.png
这是路由器 https://s1.ax1x.com/2018/11/02/ihWAdP.png
唯一区别就是发包频率。

[wzf1]

@leoojiang 住的人挺多，一户户去敲门.....

[iwtbauh]

如何拉黑，划 vlan：把他插入的那个口单独划一个 vlan

[wzf1]

@iwtbauh TP-LINK

[greed1is9good]

把你的主路由设置 0.1，子网掩码设小一点就行了。。。

[xrds7986]

次路由 wan 口动态 ip，开 dhcp，wan 口连接主路由 lan 口就可以了啊。不再同一个地址段就可以了

[Lanke0]

什么年头还玩 1.1，冲突肯定迟早的事

[lslqtz]

难道不是 lan 接 wan，然后路由器自动获得 dhcp 分配？

[iwtbauh]

@wzf1 #43

这个好像可以开 telnet，开启 telnet 后看看能不能设置 vlan。

@greed1is9good #44

没用的，问题原因不仅有地址冲突，还有 dhcp 的问题，对方的路由器上也对 lan 开启了 dhcp 服务器，这个服务器和上级路由上的 dhcp 服务器是在同一个广播域中的，地位相同，因此接入上级路由的其他用户可能分到 .1.x 也可能分到 .0.x，所以要么想办法 ban 掉 dhcp 要么划 vlan