这条命令配置的例外mac流量还会不会上送cpu进行处理
- 0关注
- 0收藏，24浏览
问题描述：
现场有一台安全设备会轮询扫描网段，发送大量arp请求和免费arp，交换机（S5590EI）从而产生大量如下：
%Oct 13 03:07:42:207 2026 5590_T2F_01 DRVPLAT/4/PORT_ATTACK_OCCUR: Auto port-defend stopped.SourceAttackInterface=Ten-GigabitEthernet1/0/35, AttackProtocol= ARP
%Oct 13 03:07:48:209 2026 5590_T2F_01 DRVPLAT/4/PORT_ATTACK_OCCUR: Auto port-defend stopped.SourceAttackInterface=Ten-GigabitEthernet1/0/35, AttackProtocol=RLINK_EXT_LOW
%Oct 13 03:16:04:430 2026 5590_T2F_01 DRVPLAT/4/DrvDebug: SOFTCAR RATE-LIMIT RECOVER: ProtocolType=ARP, Chip=0, Rate-Limit=500
%Oct 13 03:16:06:295 2026 5590_T2F_01 DRVPLAT/4/PORT_ATTACK_OCCUR: Auto port-defend started.SourceAttackInterface=Ten-GigabitEthernet1/0/35, AttackProtocol= ARP
%Oct 13 03:16:45:307 2026 5590_T2F_01 DRVPLAT/4/PORT_ATTACK_OCCUR: Auto port-defend stopped.SourceAttackInterface=Ten-GigabitEthernet1/0/35, AttackProtocol= ARP
%Oct 13 03:35:05:429 2026 5590_T2F_01 DRVPLAT/4/SOFTCAR RECOVER: Chip=0 Cos=109
%Oct 13 03:35:05:429 2026 5590_T2F_01 DEV/4/BOARD_WARNING_CLEAR: Board warning alarm cleared. (PhysicalIndex=173, PhysicalName=Board, RelativeResource=(chiptype:Switch Chip,chassis:1,slot:1,chipid:0,channel:109), ErrorCode=423038, Reason=Continous packet loss no longer detected on protocol message queue 109.)
%Oct 13 03:43:18:635 2026 5590_T2F_01 DRVPLAT/4/PORT_ATTACK_OCCUR: Auto port-defend started.SourceAttackInterface=Ten-GigabitEthernet1/0/36, AttackProtocol= ARP
%Oct 13 03:43:30:638 2026 5590_T2F_01 DRVPLAT/4/PORT_ATTACK_OCCUR: Auto port-defend started.SourceAttackInterface=Ten-GigabitEthernet1/0/35, AttackProtocol= ARP
查到这条命令可以应对这种场景，想了解配置这条命令后。设备是不是针对例外的mac完全不进行arp协议报文的上送处理，如果此时恰巧有需要他处理的报文，配置了例外会有影响吗
排查步骤
1. 确认当前攻击检测配置
bash
display attack-defense statistics
display port-defend
2. 配置例外MAC（假设安全设备MAC为0011-2233-4455）
bash
attack-defense local apply security-policy
attack-defense policy exempt-mac 0011-2233-4455
3. 验证配置生效
bash
display attack-defense policy
display attack-defense exempt-mac
4. 观察日志是否停止
bash
display logbuffer | include PORT_ATTACK
关键说明
例外MAC机制：配置后，该MAC的ARP请求和免费ARP仍会正常上送CPU进行协议处理（如ARP学习、响应），但不会触发攻击检测阈值，因此不会产生PORT_ATTACK_OCCUR日志，也不会触发端口自动隔离。
CPU保护：如果担心CPU负载过高，可结合arp rate-limit或arp source-suppression限制ARP报文速率，但需注意不要影响正常业务。
S5590EI特性：该型号支持attack-defense命令，例外MAC配置在全局生效，对所有端口有效。
补充建议
若安全设备扫描行为是正常业务需求，建议：
1. 在安全设备侧调整扫描频率，避免过于频繁。
2. 在交换机上联端口配置arp rate-limit，限制ARP报文上送速率。
3. 如果扫描流量无需交换机响应，可在接口下配置arp filter-source过滤特定源MAC的ARP报文。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论