arp攻击
- 0关注
- 0收藏，72浏览
问题描述：
想问一下各位大佬，有一幢楼栋汇聚一插上就会在bras上收到这个log，此告警是代表环路了吗？log回显如下
组网及组网描述：
Sep 30 2004 15:07:21+08:00 WLZX-S12712 %%01SECE/4/SPECIFY_SIP_ATTACK(l)[0]:The specified source IP address attack occurred. (Slot=LPU12, SourceAttackIP=100.100.100.32, AttackProtocol=ARP, AttackPackets=175 packets per second)
Sep 30 2004 15:07:21+08:00 WLZX-S12712 %%01SECE/4/USER_ATTACK(l)[1]:User attack occurred. (Slot=LPU12, SourceAttackInterface=XGigabitEthernet12/0/26, OuterVlan/InnerVlan=700/0, UserMacAddress=3897-d6f8-a9cd, AttackProtocol=ARP, AttackPackets=175 packets per second)
Sep 30 2004 15:06:32+08:00 WLZX-S12712 %%01SECE/4/SPECIFY_SIP_ATTACK(l)[2]:The specified source IP address attack occurred. (Slot=LPU12, SourceAttackIP=10.212.0.1, AttackProtocol=ARP, AttackPackets=75 packets per second)
Sep 30 2004 15:06:32+08:00 WLZX-S12712 %%01SECE/4/USER_ATTACK(l)[3]:User attack occurred. (Slot=LPU12, SourceAttackInterface=XGigabitEthernet12/0/26, OuterVlan/InnerVlan=700/0, UserMacAddress=0074-9c3a-def5, AttackProtocol=ARP, AttackPackets=75 packets per second)
Sep 30 2004 15:06:23+08:00 WLZX-S12712 %%01SECE/4/SPECIFY_SIP_ATTACK(l)[4]:The specified source IP address attack occurred. (Slot=MPU, SourceAttackIP=10.212.0.1, AttackProtocol=ARP, AttackPackets=65 packets per second)
Sep 30 2004 15:06:23+08:00 WLZX-S12712 %%01SECE/4/USER_ATTACK(l)[5]:User attack occurred. (Slot=MPU, SourceAttackInterface=XGigabitEthernet12/0/26, OuterVlan/InnerVlan=700/0, UserMacAddress=0074-9c3a-def5, AttackProtocol=ARP, AttackPackets=65 packets per second)
Sep 30 2004 15:05:57+08:00 WLZX-S12712 %%01SECE/4/SPECIFY_SIP_ATTACK(l)[6]:The specified source IP address attack occurred. (Slot=LPU12, SourceAttackIP=100.100.100.250, AttackProtocol=ARP, AttackPackets=100 packets per second)
Sep 30 2004 15:05:57+08:00 WLZX-S12712 %%01SECE/4/USER_ATTACK(l)[7]:User attack occurred. (Slot=LPU12, SourceAttackInterface=XGigabitEthernet12/0/26, OuterVlan/InnerVlan=700/0, UserMacAddress=5098-b851-1002, AttackProtocol=ARP, AttackPackets=100 packets per second)
Sep 30 2004 15:04:23+08:00 WLZX-S12712 %%01IFPDT/4/INT_OUTBRDR(l)[8]:The output rate ch
从您提供的日志来看，告警信息主要涉及ARP攻击（ARP Attack），并且这些攻击包的速率较高。这些告警并不直接表明存在环路，但高频率的ARP包可能是由于网络中存在环路或其他异常流量引起的。以下是一些可能的原因和解决方法：
可能原因
1. ARP攻击：网络中某些设备可能正在发起ARP攻击，导致大量ARP包。
2. 网络环路：环路可能导致广播风暴，从而引发大量ARP包。
3. 配置错误：某些设备的配置可能不正确，导致异常流量。
解决方法
1. 检查网络拓扑：
确认网络中没有环路。可以使用生成树协议（STP）来防止环路。
plaintext
[H3C] display stp
2. 启用ARP防护：
配置ARP防护功能，限制每秒钟允许的ARP包数量。
plaintext
[H3C] arp antiattack ratelimit 100
3. 检查并隔离可疑设备：
根据日志中的MAC地址和IP地址，找到并隔离可能发起攻击的设备。
plaintext
[H3C] display macaddress
4. 配置ACL：
使用访问控制列表（ACL）限制可疑流量。
plaintext
[H3C] acl number 3000
[H3Caclbasic3000] rule 10 deny ip source 100.100.100.32 0
[H3Caclbasic3000] quit
[H3C] interface XGigabitEthernet12/0/26
[H3CGigabitEthernet12/0/26] packetfilter 3000 inbound
[H3CGigabitEthernet12/0/26] quit
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
说明这个可能是环导致的吗？