S5590EI新版本8336P11怎样调整cpu对arp报文限速阈值

1、全局 ARP 上 CPU 阈值（核心，解决 CPU 告警）

默认值一般是 200pps，根据现场按需调高，例如 1000/2000。这个就是整机 ARP 报文送到 CPU 的总限速阈值，超过丢弃并产生告警日志H3C。

查看当前配置与统计：

输出里Limit(pps)就是当前阈值，Dropped为丢弃计数。

⚠️注意：anti-attack 是芯片级协议上 CPU 限速，替代了旧版本 cpu-defend policy 里面 ARP 的 car。

2、接口级 ARP 限速（可选，接入端口）

如果接入端口单独有限制，可在接口修改端口 ARP 限速，接口视图：

arp rate-limit是端口收到 ARP 报文的限速，只对当前接口生效，范围 5~2000ppsH3C。

如果不需要端口限速，可以 undo arp rate-limit 关闭端口 ARP 限速，只保留全局 anti-attack 控制整机上 CPU 的 ARP 报文。

3、ARP 告警日志开关（控制 trap/log 告警，不影响报文转发）

4、其他配套 ARP 相关参数（按需）

• arp source-suppression limit：针对同一源 IP 无法解析的 ARP 抑制，和整机 ARP 泛洪 CPU 限速不是一回事，不要混淆。

5、排查 & 验证命令

重要提醒

1. anti-attack protocol arp threshold是整机上送 CPU 的 ARP 报文上限，调高之后 CPU 更容易被 ARP 流量冲击；确认现场无攻击再调高，不要盲目调到最大值。
2. 区分两个限速：
   • anti-attack protocol arp threshold：全局，上 CPU 报文总限速（你要调的，替代旧 cpu-defend）
   • interface下 arp rate-limit：单端口收到 ARP 报文限速
3. 如果同时配置两者，哪个数值更小，哪个先触发丢包。

推荐操作步骤

1. display anti-attack protocol arp查看当前 Limit 值，确认告警是这个阈值触发；
2. 调高 anti-attack protocol arp threshold；
3. 观察日志、CPU、anti-attack 丢弃计数器，确认不再报 ARP 超限告警；
4. 接入端口按需保留 / 取消 arp rate-limit。