s5130 有arp報文大量
- 0關注
- 0收藏，182瀏覽
問題描述：
Jun 24 11:12:22:453 2024 NHX-JF-S10508X-G DRVPLAT/4/PORT_ATTACK_OCCUR: -Chassis=1-Slot=2; Auto port-defend started.SourceAttackInterface=Ten-GigabitEthernet1/2/0/51, AttackProtocol= ARP %Jun 24 11:12:45:856 2024 NHX-JF-S10508X-G DRVPLAT/4/PORT_ATTACK_OCCUR: -Chassis=1-Slot=2; Auto port-defend stopped.SourceAttackInterface=Ten-GigabitEthernet1/2/0/51, AttackProtocol= ARP
組網及組網描述：
Jun 24 11:12:22:453 2024 NHX-JF-S10508X-G DRVPLAT/4/PORT_ATTACK_OCCUR: -Chassis=1-Slot=2; Auto port-defend started.SourceAttackInterface=Ten-GigabitEthernet1/2/0/51, AttackProtocol= ARP %Jun 24 11:12:45:856 2024 NHX-JF-S10508X-G DRVPLAT/4/PORT_ATTACK_OCCUR: -Chassis=1-Slot=2; Auto port-defend stopped.SourceAttackInterface=Ten-GigabitEthernet1/2/0/51, AttackProtocol= ARP 我想請問一下是不是arp攻擊，現象是某個區域出現沒有規律的丟包，我該如何排查
- 2025-06-12提問
- 舉報
-
(0)
設備檢測到Ten-GigabitEthernet1/2/0/51和Ten-GigabitEthernet2/2/0/51接口上發生了ARP協議的攻擊，自動端口防禦機製啟動並隨後停止。要進行溯源查看具體是哪個IP地址在發送大量ARP廣播報文，可以采取以下步驟：
1. **檢查ARP表項**：使用`display arp`命令查看設備上的ARP表項，特別關注與受攻擊接口相關的表項，以確定哪些IP地址與該接口關聯。
2. **啟用ARP調試信息**：如果可能，啟用ARP調試信息，這可能提供更詳細的攻擊源信息。但請注意，這可能會產生大量輸出，應謹慎使用。
3. **查看係統日誌**：深入分析係統日誌，尋找與ARP攻擊相關的更詳細信息，如攻擊開始和停止的時間，以及可能的攻擊源地址。
4. **使用網絡監控工具**：部署網絡監控工具或軟件，如Wireshark，來捕獲和分析網絡流量，特別是ARP流量，以識別異常的廣播或單播ARP請求。
關於ARP攻擊的默認閾值，這通常取決於設備的配置。設備可能有預設的閾值，用於檢測異常的ARP流量。當在短時間內接收到的ARP報文數量超過這個閾值時，設備會認為存在攻擊並觸發防禦機製。具體閾值可能因設備型號和版本而異，一般需要查閱設備的配置文檔或通過`display current-configuration`命令查看相關設置。
對於日誌中提到的“Auto port-defend started”和“Auto port-defend stopped”，這表明設備自動啟動和停止了端口防禦機製，以應對檢測到的端口學習攻擊（PORT_LERAN）。這通常意味著在指定時間內，接口學習到的MAC地址數量超過了預設的閾值。如果業務沒有受到影響，這可能意味著攻擊已被有效控製，但仍然建議進行上述的溯源分析，以確保網絡的安全性和穩定
- 2025-06-12回答
- 評論(0)
- 舉報
-
(0)
暫無評論
在 H3C S5130 係列交換機中，限製廣播包（Broadcast）可通過以下 關鍵配置 實現，核心目的是防止廣播風暴對網絡性能的影響。以下是具體操作步驟和原理說明：
一、核心方法：端口廣播風暴抑製
通過物理端口或聚合接口的風暴抑製（Storm Control）功能，限製廣播包轉發速率。
配置命令：
interface GigabitEthernet 1/0/1
storm-constrain broadcast # 啟用廣播風暴抑製
storm-constrain broadcast pps 1000 # 限製廣播包為1000包/秒
# 或按帶寬百分比限速（推薦）：
storm-constrain broadcast level 5 # 限製帶寬占比5%，超限則阻塞或關閉端口參數說明：
pps：每秒包數上限（適合精確控製）level：帶寬百分比（範圍0.1~100，通常設1%-5%）- 動作：超限後端口自動阻塞（默認）或發送 Trap 告警（需額外配置）。
二、高級控製：VLAN內廣播隔離
若需限製同一 VLAN 內設備的廣播傳播，使用 Port Isolation（端口隔離）：
vlan 10
port-isolate enable # 在VLAN視圖啟用隔離
interface GigabitEthernet 1/0/1
port-isolate enable # 將端口加入隔離組（同組端口無法互發廣播）三、全局優化：抑製無效廣播源
啟用IGMP Snooping（針對組播轉廣播場景）
防止組播數據被強製廣播到非成員端口：bash複製igmp-snooping enable # 全局啟用 vlan 10 igmp-snooping enable # 在業務VLAN啟用過濾非法源MAC廣播
攔截源MAC為廣播地址（FFFF-FFFF-FFFF）的幀：bash複製mac-address static source-check enable # 啟用源MAC校驗
四、廣播風暴後的自愈機製
配置 端口異常檢測恢複，避免人工幹預：
interface GigabitEthernet 1/0/1
storm-constrain control shutdown # 超限自動關閉端口
auto-recovery enable # 啟用自動恢複
auto-recovery interval 300 # 300秒後自動重啟端口配置效果驗證：
# 查看端口風暴抑製狀態
display storm-constrain [interface GigabitEthernet 1/0/1]
# 檢查端口隔離組
display port-isolate group
# 監控實時廣播流量
display counters broadcast- 2025-06-12回答
- 評論(0)
- 舉報
-
(0)
暫無評論
編輯答案
親~登錄後才可以操作哦!
確定你的郵箱還未認證，請認證郵箱或綁定手機後進行當前操作
舉報
×
侵犯我的權益
×
侵犯了我企業的權益
×
- 1. 您舉報的內容是什麼？（請在郵件中列出您舉報的內容和鏈接地址）
- 2. 您是誰？（身份證明材料，可以是身份證或護照等證件）
- 3. 是哪家企業？（營業執照，單位登記證明等證件）
- 4. 您與該企業的關係是？（您是企業法人或被授權人，需提供企業委托授權書）
抄襲了我的內容
×
原文鏈接或出處
誹謗我
×
- 1. 您舉報的內容以及侵犯了您什麼權益？（請在郵件中列出您舉報的內容、鏈接地址，並給出簡短的說明）
- 2. 您是誰？（身份證明材料，可以是身份證或護照等證件）
對根叔社區有害的內容
×
不規範轉載
×
舉報說明
暫無評論