问

arp攻击

ARP攻击防御

2024-09-30提问

0关注
0收藏，245浏览

zhiliao_8vnjfp

zhiliao_8vnjfp 四段

粉丝：0人关注：0人

问题描述：

想问一下各位大佬，有一幢楼栋汇聚一插上就会在bras上收到这个log，此告警是代表环路了吗？log回显如下

组网及组网描述：

Sep 30 2004 15:07:21+08:00 WLZX-S12712 %%01SECE/4/SPECIFY_SIP_ATTACK(l)[0]:The specified source IP address attack occurred. (Slot=LPU12, SourceAttackIP=100.100.100.32, AttackProtocol=ARP, AttackPackets=175 packets per second)
Sep 30 2004 15:07:21+08:00 WLZX-S12712 %%01SECE/4/USER_ATTACK(l)[1]:User attack occurred. (Slot=LPU12, SourceAttackInterface=XGigabitEthernet12/0/26, OuterVlan/InnerVlan=700/0, UserMacAddress=3897-d6f8-a9cd, AttackProtocol=ARP, AttackPackets=175 packets per second)
Sep 30 2004 15:06:32+08:00 WLZX-S12712 %%01SECE/4/SPECIFY_SIP_ATTACK(l)[2]:The specified source IP address attack occurred. (Slot=LPU12, SourceAttackIP=10.212.0.1, AttackProtocol=ARP, AttackPackets=75 packets per second)
Sep 30 2004 15:06:32+08:00 WLZX-S12712 %%01SECE/4/USER_ATTACK(l)[3]:User attack occurred. (Slot=LPU12, SourceAttackInterface=XGigabitEthernet12/0/26, OuterVlan/InnerVlan=700/0, UserMacAddress=0074-9c3a-def5, AttackProtocol=ARP, AttackPackets=75 packets per second)
Sep 30 2004 15:06:23+08:00 WLZX-S12712 %%01SECE/4/SPECIFY_SIP_ATTACK(l)[4]:The specified source IP address attack occurred. (Slot=MPU, SourceAttackIP=10.212.0.1, AttackProtocol=ARP, AttackPackets=65 packets per second)
Sep 30 2004 15:06:23+08:00 WLZX-S12712 %%01SECE/4/USER_ATTACK(l)[5]:User attack occurred. (Slot=MPU, SourceAttackInterface=XGigabitEthernet12/0/26, OuterVlan/InnerVlan=700/0, UserMacAddress=0074-9c3a-def5, AttackProtocol=ARP, AttackPackets=65 packets per second)
Sep 30 2004 15:05:57+08:00 WLZX-S12712 %%01SECE/4/SPECIFY_SIP_ATTACK(l)[6]:The specified source IP address attack occurred. (Slot=LPU12, SourceAttackIP=100.100.100.250, AttackProtocol=ARP, AttackPackets=100 packets per second)
Sep 30 2004 15:05:57+08:00 WLZX-S12712 %%01SECE/4/USER_ATTACK(l)[7]:User attack occurred. (Slot=LPU12, SourceAttackInterface=XGigabitEthernet12/0/26, OuterVlan/InnerVlan=700/0, UserMacAddress=5098-b851-1002, AttackProtocol=ARP, AttackPackets=100 packets per second)
Sep 30 2004 15:04:23+08:00 WLZX-S12712 %%01IFPDT/4/INT_OUTBRDR(l)[8]:The output rate ch

最佳答案

V15555006163

V15555006163 七段

粉丝：8人关注：0人

从您提供的日志来看，告警信息主要涉及ARP攻击（ARP Attack），并且这些攻击包的速率较高。这些告警并不直接表明存在环路，但高频率的ARP包可能是由于网络中存在环路或其他异常流量引起的。以下是一些可能的原因和解决方法：

可能原因
1. ARP攻击：网络中某些设备可能正在发起ARP攻击，导致大量ARP包。
2. 网络环路：环路可能导致广播风暴，从而引发大量ARP包。
3. 配置错误：某些设备的配置可能不正确，导致异常流量。

解决方法
1. 检查网络拓扑：
确认网络中没有环路。可以使用生成树协议（STP）来防止环路。
plaintext
[H3C] display stp

2. 启用ARP防护：
配置ARP防护功能，限制每秒钟允许的ARP包数量。
plaintext
[H3C] arp antiattack ratelimit 100

3. 检查并隔离可疑设备：
根据日志中的MAC地址和IP地址，找到并隔离可能发起攻击的设备。
plaintext
[H3C] display macaddress

4. 配置ACL：
使用访问控制列表（ACL）限制可疑流量。
plaintext
[H3C] acl number 3000
[H3Caclbasic3000] rule 10 deny ip source 100.100.100.32 0
[H3Caclbasic3000] quit
[H3C] interface XGigabitEthernet12/0/26
[H3CGigabitEthernet12/0/26] packetfilter 3000 inbound
[H3CGigabitEthernet12/0/26] quit