网络协议系列【仅供参考】：ARP欺骗应急故障处理案例（巨坑）

ARP欺骗应急故障处理案例（巨坑）

当我正在专心处理工作的时候，研发小伙伴突然跑过来说：我们虚拟机网络都不通了，你是不是动配置了？是不是你？？是不是你？？？

内心第一反应：纳尼？？？

研发小伙伴的网络是自己在配置和维护，所以出问题大概率是研发的配置导致的，并且之前都是好好地，现在突然不行了，肯定事出有因！

如果网络之前一直好好地，突然出问题了，那么导致这个问题大概率是最近的一次变量。

但是，问题出现了，第一时间要先解决问题，先救火

于是，开始进行测试~~~

研发的网段是192.192.99.0/24，网关为192.192.99.254

目前的现象是：办公网到99段网络不通

首先自己确认现象和问题：

使用笔记本（办公网）访问99段，间歇性不通，访问99.254正常

使用台式机（另一网段）访问99段，间歇性不通，访问99.254正常

笔记本修改为99段，访问99.254正常，访问其他网段不通，只能二层通信

至此，说明到网关正常，但是到终端不正常，终端到其他网段也不通，可能的原因有：

1.核心交换机路由转发有问题

2.网关99.254存在问题

检查核心交换机，路由和条目都正常，清理ARP之后也是正常的，初步判断核心没问题（如果核心有问题，影响的就不会是某一个网段了）

然后检查终端的ARP表项，命令arp -a，这是看到网关的ARP是：

接着我们去核心看下网关的ARP表：

兄弟，同一个网关地址却有两个Mac地址，这是啥情况？？

要么网关存在ARP攻击，要么哪个D毛把网关给我冲突了~~~

既然到了这个地步，我就直接去找下罪魁祸首是谁

于是我采用了最简单的方式，我在核心把网关改成99.1，然后发现99.254还通，竟然还通，你说你礼貌吗？

这反而就简单了

直接去核心交换机dis arp | in 99.254查找哪个接口上来的，然后逐步查找互联交换机设备，根据信息找接口：

发现从5口上来的，5口是另外一台接入交换机，通过同样的方法进行排查，最后发现接的是一台虚拟化平台，既然定位到了平台，查找虚拟机就简单了，最后终于找到了：

就是他、就是他、就是他，就是这个人搞的鬼！！！

你以为到这里就结束了吗？

并没有

俗话说在哪里跌倒就要在哪里躺下思考

吃一堑，长一智

我们要在交换机上配置下ARP防护，防止重蹈覆辙

改天再写一下吧，拜拜了 ~~~

IT小猛男

ARP欺骗应急故障处理案例（巨坑）