交换机以及OLT ipsg疑问
- 0关注
- 0收藏，95浏览
问题描述：
现网两张组网，光网络组网是onu-olt-s10508-核心交换机（业务网关），另外一套组网是接入交换机-汇聚交换机-s10508-核心交换机（业务网关）。
现在onu和接入交换机都配置了ip verify source ip-address mac-address和dhcp snooping binding record，PC终端无论接在onu或者接入交换机配置静态地址时，都无法与现场通信。现在有两个疑问想问问大家。
1、PC终端如果配置了一个与现网已有终端的IP，这时候核心交换机会有PC地址冲突的日志，理论上接入交换机的IPSG不是阻断了PC终端的通信吗？怎么核心会有地址冲突的日志？
2、某些特殊终端，在地址租期过期后，不会发续租报文导致地址老化在终端上。此时dhcp服务器以为这个地址没在使用就把地址分配给其他终端，导致双方地址冲突。理论上特殊终端地址老化以后，IPSG不是也应该会阻断这些特殊终端吗？
H3C设备默认IPSG仅校验IP数据报文的源IP+MAC绑定关系，不拦截ARP报文。非法静态IP终端发送的免费ARP（地址冲突检测报文）不受IPSG限制，可逐层转发到核心，核心收到同网段同IP的ARP报文后就会生成冲突日志。
若需在接入侧阻断非法ARP，可在接入/OLT对应VLAN下配置arp detection enable，上行口配置arp detection trust，结合DHCP Snooping绑定表校验ARP合法性即可，该变更建议低峰操作，提前备份配置。
问题2解答（你问题未描述完整，按现有场景说明）：
正常流程下DHCP Snooping绑定表会与DHCP服务器租期同步老化，租期到期后对应绑定表项自动删除，此时特殊终端继续使用过期IP发送的IP报文会被IPSG直接丢弃。如果未阻断，排查两点：
1. 执行display dhcp snooping binding检查对应终端的绑定表是否未老化，确认是否配置了静态绑定或绑定表老化时间与DHCP租期不一致；
2. 确认冲突是否由ARP报文触发，IPSG默认不拦截ARP，需配合ARP Detection实现全阻断。
若还有其他现象可补充后进一步排查。
疑问一：IPSG已启用，核心为何仍有IP地址冲突日志？
这个问题的关键在于IPSG的过滤范围是有限的。它主要针对的是普通的数据报文（IP报文）进行过滤，但并不会拦截ARP报文。其中，最关键的一类就是免费ARP（Gratuitous ARP）报文。
逻辑梳理：当一台终端被配置了与网络中现有终端相同的静态IP地址后，它会主动发送一个免费ARP报文来宣告自己的存在。这个报文的目的就是用来探测网络中的IP地址冲突。由于接入交换机的IPSG默认不拦截ARP报文，这个免费ARP就会被交换机逐层转发，最终抵达核心交换机。核心交换机收到后，自然就检测到了IP地址冲突，并生成了相应的日志。
疑问二：租约过期后，IPSG为何没有阻断特殊终端？
理论上，当终端的IP地址租约过期且未续租时，DHCP服务器会回收该地址并分配给其他终端。同时，接入交换机上的DHCP Snooping绑定表项也会同步老化并删除。如果IPSG依赖这张动态绑定表来过滤，那么过期终端的数据报文确实应该被丢弃。
但如果你遇到了相反的现象，可以检查以下几点：
检查绑定表项是否老化：确认接入交换机上是否配置了针对该特殊终端的静态绑定，或者是否存在软件缺陷导致绑定表项未正常老化。
检查是否为ARP冲突：如果冲突是由ARP报文引起的，由于IPSG不拦截ARP，问题依旧存在。此时，需要启用ARP Detection功能，将其与DHCP Snooping绑定表联动，来校验ARP报文的合法性。
暂无评论
先一句话总结论
- IPSG 只管 “本机端口上的非法报文”，不处理 “已经进入网络的二层广播 / ARP 报文”
- ARP 冲突日志是核心收到了 ARP 广播，不是 IPSG 没生效，是机制本身就这样
- 地址过期后，原终端还在用旧 IP 发包 → IPSG 表项已经老化 → 不会阻断，直接放通
- OLT 场景比交换机更特殊：ONU 下行是广播域，ARP 会直接透传到 OLT 再上送核心
问题 1：为什么静态 IP 冲突，核心能看到日志，IPSG 却没阻断？
关键原理：
- PC 配置静态重复 IP → 发 ARP 请求 / 免费 ARP
- ARP 是 二层广播包
- IPSG 默认不对 ARP 做检查（只对 IP 报文检查）
- 所以 ARP 直接穿过 ONU / 接入交换机 → 上送到 OLT / 汇聚 → 再到核心
- 核心交换机收到重复的 ARP → 记录地址冲突日志
为什么接入层没阻断？
- IPSG = IP Source Guard
- 只对 IP 报文（IPv4/IPv6） 做绑定检查
- 不对 ARP 做检查
- 要想阻断 ARP 冲突，必须再开 ARP 检查（ARP Filter / ARP Security）
所以现象完全符合机制：
- PC 发 ARP → 通
- PC 发 IP 报文（ping / 访问）→ 被 IPSG 阻断，不通
- 核心只看到 ARP 冲突，看不到 IP 层通信
问题 2：地址过期后，旧终端继续用旧 IP，为什么 IPSG 不阻断？
关键原理：
- 终端 DHCP 获取 IP
- DHCP Snooping 生成绑定表（IP+MAC + 端口 + VLAN）
- IPSG 根据这张表放行流量
- 地址租期到，终端不续租
- DHCP Snooping 绑定表老化删除
- 此时旧终端继续发包
- IPSG 找不到表项 → 默认动作是 PERMIT（允许）
- 旧终端继续正常发包，与新分配的终端冲突
所以你看到的现象完全正确：
- 地址过期
- 旧终端还在发包
- IPSG 不拦
- 核心出现冲突
为什么 OLT (ONU) 更容易出现这种问题？
- ONU 下行是广播域，所有 ARP 广播直接泛洪
- OLT 上的 IPSG / DHCP Snooping 表项老化比交换机快
- ONU 端口不做严格二层隔离，默认是 “透传”
现场怎么解决？（直接给方案）
1）要真正阻断冲突终端，必须同时开三样
dhcp snooping enable
ip verify source ip-address mac-address
arp filter binding # 关键！让ARP也受绑定表控制
2）防止地址过期后旧终端乱发包
- 缩短 DHCP 租期（120min 以内）
- 开启 IPSG 表项严格老化
- 开启 DAI（动态 ARP 检测）
- 核心开启 ARP 防攻击、免费 ARP 检查
3）OLT 侧额外配置
ont port-security
arp anti-attack check user-bind
最终极简总结（方便你跟同事解释）
- IPSG 不拦 ARP，只拦 IP 报文 → 所以核心能看到冲突日志
- DHCP 绑定表一老化，IPSG 就不拦了 → 旧终端继续发包
- 要彻底解决，必须开 ARP 过滤 + DAI + 严格绑定
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论