问题描述：
局域网内最近出现很多ip地址冲突，主要有2个办公区域的电脑报地址冲突，A区（10.217.109.0/24）B区
（10.217.100.0/24），在汇聚7503上检查根本没有发现冲突IP地址，给电脑更换新的IP地址后，用了大概10分钟就又报地址冲突。检查arp表发现故障电脑的mac地址总是在换，有时会有三个IP地址的mac是相同的，怀疑是arp攻击，把存在问题的IP地址都给断了，结果过了一会还是有问题。 杀毒也查不出来什么，请问各位大大有谁知道怎么弄，万分感谢。
组网及组网描述：
一台S7503E当做内网汇聚设备,版本5.20 ，汇聚下面有几台S3610和华为3700当接入交换机，办公电脑地址没有在接入交换机上绑定，所有地址都在S7503端口上做ip+mac地址绑定，接入交换机端口就是vlan access模式，汇聚一般是trunk permit XX vlan。
- 2017-12-19提问
- 举报
-
(0)
最佳答案
如果终端地址是dhcp动态获取的，那就可以通过dhcp snooping+arp detection解决。如果是静态的，那就要配置ip source guard+ arp detection。相关案例可以在官网上搜索一下
- 2017-12-19回答
- 评论(4)
- 举报
-
(0)
感谢您的回答，所有办公地址是手动分配，我在7503端口上做了ip verify source ip-address mac-address ,但没做arp detection，我担心会断网，整个局域网一千多台电脑，还有很多业务是要访问服务器的。
我看了官网的arp攻击防范技术白皮书和arp攻击防御pdf，你说的arp detection应该是一些命令的组合吗？我看arp攻击防御里有很多arp相关命令，看了以后还是不懂哪些命令可以为我所用，不知道怎么下手
其实原理比较简单，ip source guard主要是用来形成一个静态的IP+MAC+VLAN的绑定表项，而arp detection会参考这个表项，来决定是否转发终端的ARP报文，如果ARP与静态表项不匹配，就直接丢弃，从而达到安全的目的。下面是一个配置示例，请参考： # 使能ARP Detection功能，对用户合法性进行检查。 [SwitchB] vlan 10 [SwitchB-vlan10] arp detection enable # 接口状态缺省为非信任状态，上行接口配置为信任状态，下行接口按缺省配置。 [SwitchB-vlan10] interface gigabitethernet 1/0/3 [SwitchB-GigabitEthernet1/0/3] arp detection trust [SwitchB-GigabitEthernet1/0/3] quit # 在下行端口上配置IP Source Guard静态绑定表项。 [SwitchB] interface gigabitethernet 1/0/2 [SwitchB-GigabitEthernet1/0/2] ip source binding ip-address 10.1.1.6 mac-address 0001-0203-0607 vlan 10 [SwitchB-GigabitEthernet1/0/2] quit # 配置进行报文有效性检查。 [SwitchB] arp detection validate dst-mac ip src-mac 完成上述配置后，对于接口GigabitEthernet1/0/2收到的ARP报文，会基于IP Source Guard静态绑定表项进行用户合法性检查。
我的上连是到防火墙，应该把这个接口做成信任接口对吧？我下行端口是IP+MAC绑定没有绑vlan，这个有关系吗？所有下行接口都要起arp detection validate dst-mac ip src-mac 这条命令吗？会不会影响我访问服务器上的业务，服务器接在防火墙的DMZ区？
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
我的上连是到防火墙，应该把这个接口做成信任接口对吧？我下行端口是IP+MAC绑定没有绑vlan，这个有关系吗？所有下行接口都要起arp detection validate dst-mac ip src-mac 这条命令吗？会不会影响我访问服务器上的业务，服务器接在防火墙的DMZ区？