2020版H3C网络ARP-DETECTION故障排查

ARP-DETECTION故障排查一、开始定位故障思路是：开始先检查ARP-DETECTION是否正确使能。如果配置无问题，再看目的端口是否为信任端口。如果不是ARP信任端口，则需要进行用户的合法性检查。关于用户合法性检查，首先进行的是匹配ARP规则，如果匹配，则按照规则处理，如果不匹配，则查看是否匹配IPSOURCEGUARD。关于IP-SOURCE-GUARD的匹配，如果找到对应的IP表项，则判断是否非法，如果不匹配，则查看是否匹配OUI-MAC、DOT1X、DHCP-SNOOPING的其中一项。1、检查ARP-DETECTION的配置查看ARP-DETECTION在设备上对应的VLAN步处理。命令：displayarpdetection例如：ARP-DETECTION在VLAN10中使能，则有如下显示2、检查ARP信任端口的配置查看该ARP所在或所应该的端口是否为信任端口，如果不为信任端口，则进行下一步处理。命令：displaythis例如：TEN5/0/1为ARP信任端口Administrator2015-12-1207:09:15Administrator2015-12-1207:09:15--------------------------------------------继续进行dhcpsnooping,802.1x,oui3、匹配配置规则查看在设备上是否配置了ARP的规则。如果匹配，则按照规则处理（permit/deny），如果未匹配，则进行下一步处理。命令：displayarpdetection例如：IP为1.1.1.0/24，MAC为2222-2222-2200/ffff-ffff-ff00的ARP，被丢弃。4、匹配IP-SOURCE-GUARDAdministrator2015-12-1207:06:30--------------------------------------------Administrator2015-12-1207:06:30--------------------------------------------让到对应的，认为合法，进行转发；GUARD的静态配置。如果找到了对应源IP地址的静态绑定表项但源MACARP报文非法，进行丢弃。如果没有找到对应源IP地址的静态绑定表项；如果未匹配，则进行下一步处理。命令：displayipsourcebinding例如：1.1.1.10002-0002-0002的ARP报文会被丢弃，1.1.1.10011-1111-版权所有:杭州华三通信技术有限公司1111报文符合静态绑定表项，会正常学到，其他IP地址非1.1.1.1的ARP正常学习。5、匹配OUI-MAC、DOT1X、DHCP-SNOOPING检查源MAC是否为OUI-MAC，VOICEVLAN是否使能；命令：displayvoicevlanouidisplayvoicevlanstate例如：查看交换机上目前配置的OUI-MAC如下且端口Ten-GigabitEthernet5/0/1使能了voicevlan。检查IP、MAC是否匹配DHCP-SNOOPING命令：displaydhcp-snooping例如：匹配1.1.1.11111-1111-1111的ARP正常学习，其符合dhcp-snooping表项。检查源MAC是否为dot1x的mac。如果是，则正常学习。