故障描述
交換機產品S9300作為網(wǎng)關,局域網(wǎng)內用戶時通時斷，網(wǎng)絡設備會經(jīng)常脫管，網(wǎng)關設備會打印大量地址沖突的告警。
故障分析
1、查看日志信息：
ARP/4/ARP_DUPLICATE_IPADDR:Received an ARP packet with a duplicate IP address from the interface. (IpAddress=[IPADDR], InterfaceName=[STRING], MacAddress=[STRING])
2、根據(jù)日志信息記錄的攻擊者的MAC地址查找MAC地址表，從而獲取到攻擊源所在的端口，通過網(wǎng)絡進一步排查，定位出攻擊源，為PC中毒所致。PC假冒網(wǎng)關向同網(wǎng)段設備請求IP。
ARP/4/ARP_DUPLICATE_IPADDR:Received an ARP packet with a duplicate IP address from the interface. (IpAddress=[IPADDR], InterfaceName=[STRING], MacAddress=[STRING])
2、根據(jù)日志信息記錄的攻擊者的MAC地址查找MAC地址表，從而獲取到攻擊源所在的端口，通過網(wǎng)絡進一步排查，定位出攻擊源，為PC中毒所致。PC假冒網(wǎng)關向同網(wǎng)段設備請求IP。
處理過程
對用戶PC殺毒，網(wǎng)關開啟防假冒網(wǎng)關攻擊功能。
在S9300上配置防網(wǎng)關沖突功能arp anti-attack gateway-duplicate enable，ARP網(wǎng)關沖突防攻擊功能使能后，系統(tǒng)生成ARP防攻擊表項，在后續(xù)一段時間內對收到具有相同源MAC地址的報文直接丟棄，這樣可以防止與網(wǎng)關地址沖突的ARP報文在VLAN內廣播。
建議/總結
攻擊者設置主機靜態(tài)IP地址時，把主機地址設置成網(wǎng)關地址。在主機設置靜態(tài)IP地址后，會發(fā)送免費ARP報文在局域網(wǎng)內進行通告，該局域網(wǎng)內其他PC機收到此報文后，會修改自身的網(wǎng)關ARP表項，修改網(wǎng)關MAC為攻擊者MAC，導致該局域網(wǎng)內所有用戶無法正常使用網(wǎng)絡，網(wǎng)絡中斷。當攻擊者頻繁發(fā)送源IP地址為網(wǎng)關地址的免費ARP報文，即使網(wǎng)關設備收到此報文能夠通知局域網(wǎng)內正常主機把網(wǎng)關搶回，但是主機網(wǎng)關MAC地址頻繁切換也會導致網(wǎng)絡中斷。