問

交換機管理網段一直在發同網段的arp請求

2025-05-16提問

1關注
0收藏，332瀏覽

zhiliao_YOTkIC

zhiliao_YOTkIC 四段

粉絲：0人關注：1人

問題描述：

交換機上時不時產生接口攻擊警告，類型是arp，類似這種

Jun 24 11:12:45:856 2024 NHX-JF-S10508X-G DRVPLAT/4/PORT_ATTACK_OCCUR: -Chassis=1-Slot=2; Auto port-defend stopped.SourceAttackInterface=Ten-GigabitEthernet1/2/0/51, AttackProtocol= ARP

抓包發現交換機的會一直請求同網段的arp，還是按順序的，像是掃描過去

組網及組網描述：

3 個回答

按時間按讚數

SoryuAkane

SoryuAkane 四段

粉絲：1人關注：1人

可以做mac-address blackhole把這個mac封了

回複SoryuAkane:

是的，都是管理地址

zhiliao_YOTkIC 發表時間：2025-05-18 更多>>

這不光光一個，基本每個交換機上的管理地址都會去掃描請求

zhiliao_YOTkIC 發表時間：2025-05-16

回複zhiliao_YOTkIC:

175/176/199都是各個交換機管理地址嗎，看著像是仿冒終端的攻擊行為

SoryuAkane 發表時間：2025-05-16

回複SoryuAkane:

是的，都是管理地址

zhiliao_YOTkIC 發表時間：2025-05-18

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉絲：166人關注：8人

問題原因
1. ARP掃描或攻擊觸發防攻擊機製
日誌中顯示AttackProtocol= ARP，表明交換機檢測到接口下存在異常的ARP流量超過閾值，觸發了端口防攻擊機製。抓包顯示交換機在按順序發送ARP請求，可能是網絡中存在ARP掃描行為（如網絡設備主動探測或惡意攻擊）。

2. 防攻擊配置閾值過低
若設備啟用了ARP源地址抑製（如arp source-mac filter）且閾值（默認30pps）設置過低，合法的大批量ARP請求（如網關維護、服務器探測）可能被誤判為攻擊。

3. 合法設備被誤識別為攻擊源
管理網段內的網關、服務器或監控工具可能周期性發送大量ARP請求，若未配置例外MAC，會被防攻擊功能攔截。

處理建議

1. 檢查並調整ARP防攻擊配置
查看當前配置
檢查是否啟用以下功能：
display current-configuration | include "arp source-mac|threshold|exclude-mac"
典型配置示例：
arp source-mac filter 開啟源MAC固定的ARP攻擊檢測
arp source-mac threshold 30 默認閾值30pps（5秒內30個ARP包觸發）
調整閾值或關閉檢測
調高閾值（如調整到100pps）：
arp source-mac threshold 100
關閉檢測（若確認流量合法）：
undo arp source-mac filter
添加保護MAC地址
將管理網段內合法設備（如網關、服務器）的MAC加入例外列表：
arp source-mac exclude-mac 0000-1234-5678

2. 抓包定位攻擊源
捕獲異常流量
在告警接口（Ten-GigabitEthernet1/2/0/51）開啟端口鏡像，分析ARP請求的源MAC和IP：
mirroring-group 1 remote-source
mirroring-group 1 mirroring-port Ten-GigabitEthernet1/2/0/51 both
mirroring-group 1 monitor-port Ten-GigabitEthernet1/2/0/52

通過Wireshark分析是否存在固定MAC的連續ARP請求。
檢查攻擊源
若發現固定MAC/IP的ARP洪泛，通過display arp source-ip確認攻擊表項，並定位設備：
display arp source-ip 1.1.1.1 替換為抓包中的異常IP
3. 啟用ARP主動確認功能
防止weizao ARP報文影響表項，減少誤判：
arp active-ack enable

4. 優化網絡配置
關閉不必要的ARP探測
如果管理網段的ARP請求來自網絡監控工具，調整其掃描頻率。
檢查是否存在環路
使用display stp abnormal-port確認是否存在二層環路導致ARP廣播風暴。
5. 聯係技術支持
若問題持續，收集以下信息並聯係H3C技術支持：
配置文件：display current-configuration
日誌信息：display logbuffer
抓包文件及防攻擊統計：
display arp attack-defense statistics
通過以上步驟，可有效區分正常ARP掃描與惡意攻擊，調整防攻擊策略，確保網絡穩定性。