故障描述
交換機產品S9300作為網關,局域網內用戶時通時斷，網絡設備會經常脫管，網關設備會打印大量地址沖突的告警。
故障分析
1、查看日志信息：
ARP/4/ARP_DUPLICATE_IPADDR:Received an ARP packet with a duplicate IP address from the interface. (IpAddress=[IPADDR], InterfaceName=[STRING], MacAddress=[STRING])
2、根據日志信息記錄的攻擊者的MAC地址查找MAC地址表，從而獲取到攻擊源所在的端口，通過網絡進一步排查，定位出攻擊源，為PC中毒所致。PC假冒網關向同網段設備請求IP。
ARP/4/ARP_DUPLICATE_IPADDR:Received an ARP packet with a duplicate IP address from the interface. (IpAddress=[IPADDR], InterfaceName=[STRING], MacAddress=[STRING])
2、根據日志信息記錄的攻擊者的MAC地址查找MAC地址表，從而獲取到攻擊源所在的端口，通過網絡進一步排查，定位出攻擊源，為PC中毒所致。PC假冒網關向同網段設備請求IP。
處理過程
對用戶PC殺毒，網關開啟防假冒網關攻擊功能。
在S9300上配置防網關沖突功能arp anti-attack gateway-duplicate enable，ARP網關沖突防攻擊功能使能后，系統(tǒng)生成ARP防攻擊表項，在后續(xù)一段時間內對收到具有相同源MAC地址的報文直接丟棄，這樣可以防止與網關地址沖突的ARP報文在VLAN內廣播。
建議/總結
攻擊者設置主機靜態(tài)IP地址時，把主機地址設置成網關地址。在主機設置靜態(tài)IP地址后，會發(fā)送免費ARP報文在局域網內進行通告，該局域網內其他PC機收到此報文后，會修改自身的網關ARP表項，修改網關MAC為攻擊者MAC，導致該局域網內所有用戶無法正常使用網絡，網絡中斷。當攻擊者頻繁發(fā)送源IP地址為網關地址的免費ARP報文，即使網關設備收到此報文能夠通知局域網內正常主機把網關搶回，但是主機網關MAC地址頻繁切換也會導致網絡中斷。