交换机arp detection enable问题

# arp‑detection enable 问题分析（H3C Comware V7）

>
> 现象：接入交换机配置`arp‑detection enable`+IPSG；终端静态手配 IP，误填成**网关 IP**；网关收到该终端发出 ARP 报文，报 IP 地址冲突告警H3C。

## 1、arp‑detection 开启后还会不会广播 ARP？

**会，但有前提**

1. 接入端口收到 ARP 报文，上送 CPU 做合法性校验：
- 报文**匹配 DHCP‑snooping 绑定表 /user‑bind 静态绑定表** →判定合法，交换机正常二层广播转发该 ARP 报文到 VLAN 内所有端口（包括上联网关方向）H3C。
- 报文**不匹配绑定表** →判定非法，交换机直接**丢弃该 ARP 报文，不再转发**。

>
> 关键点：`arp‑detection`只做**是否允许转发**，不是禁止终端本机发出 ARP 广播。终端硬件发出的广播帧到达交换机，交换机才做校验；终端本身不受交换机控制。

## 2、你的故障根因（为什么网关收到冲突 ARP）

>
> 业务 IP 已经做了`user‑bind static`静态绑定（正确业务 IP + 终端 MAC + 端口 + VLAN），**但是终端手配写成了网关 IP**。

1. 终端 MAC，在交换机绑定表里对应的 IP 是【业务 IP】；
2. 终端实际发出 ARP 报文源 IP = **网关 IP**；
3. `arp‑detection`拿 ARP 报文中（源 IP = 网关 IP，源 MAC = 终端 MAC）去匹配 user‑bind 静态绑定表；

>
> 绑定表内该 MAC 对应的 IP 是业务 IP，**和 ARP 报文中源 IP 不一致 → 这条 ARP 报文被判定非法，应当被交换机丢弃**。

👉现在网关依然收到这条 ARP，两种最可能原因：

### 原因 A：静态 user‑bind 配置错误

- user‑bind static 绑定漏写 VLAN；
- IP/MAC/VLAN/ 端口四项有一项写错；
执行查看命令确认：

```
display dhcp snooping user‑bind all
```

>
> 表项内必须完整：IP、MAC、VLAN、Interface。
> 如果表项不对，arp‑detection 匹配不到，报文放行，ARP 广播送到网关。

### 原因 B：上联口配置了`arp‑detection trust`（ARP 信任端口）

>
> ⚠️**arp‑detection trust 端口，不做任何 ARP 校验，ARP 报文直接透传**。
> 如果该终端报文从其他链路迂回、或者网关侧下行口被设置为 trust，非法 ARP 直接透传到网关设备。

```
display arp detection trust‑port
```

>
> 接入层：**只有去往 DHCP 服务器的上联口配置 trust，业务接入端口绝对不能配置 trust**。

### 原因 C：IPSG 与 arp‑detection 分工要分清

- **IPSG（ip source‑check user‑bind enable）**：过滤普通 IP 数据包（IP 报文），**不对 ARP 报文生效**。
- **arp‑detection**：专门校验 ARP 请求 / 应答报文。

>
> ❗IPSG 拦不住 ARP 报文；ARP 报文只能靠 arp‑detection 拦截，二者分工不同。

## 3、网关收到源 IP 等于自身 IP 的 ARP，弹出冲突告警

网关收到 ARP 报文源 IP 等于自己 Vlanif 的 IP，触发`arp ip‑conflict log prompt`告警，提示 IP 地址冲突，**这是网关本身的告警功能，不是交换机产生**H3C。

>
> 即使交换机把非法 ARP 丢弃，**终端本机仍然会在自己本地发送免费 ARP，交换机只是不再把它转发给别的设备**。
> 交换机无法阻止终端本机操作系统生成 ARP，只能阻止这个 ARP 报文扩散到整个 VLAN 网络。

## 4、排查命令（现场逐条执行）

```
#1、查看user‑bind绑定表，核对IP/MAC/VLAN/端口
display dhcp snooping user‑bind all

#2、查看ARP检测丢弃统计，看这个端口有没有丢弃ARP报文
display arp detection statistics interface GigabitEthernet 1/0/x

#3、查看哪些端口配置了arp‑detection trust
display arp detection trust‑port

#4、确认VLAN下面已经开启arp‑detection enable
display current‑configuration vlan xx
```

- 如果`display arp detection statistics`对应端口的 drop 计数在上涨，代表非法 ARP 已经被正常丢弃；
- 如果 drop 计数不变，报文被放行，代表绑定表 /trust 端口配置存在问题。

## 5、加固补充（防止终端手配网关 IP 产生冲突报文扩散）

1. 接入端口不要配置`arp‑detection trust`；仅 DHCP 服务器上联口配置 trust。
2. 确认每台静态终端完整配置`user‑bind static ip‑address x.x.x.x mac‑address xxxx‑xxxx‑xxxx vlan xx interface GigabitEthernet1/0/x`，四项参数完整。
3. 网关设备开启`arp ip‑conflict log prompt`，用来告警此类异常行为。

>
> 注意：交换机只能拦截**跨端口转发**的非法 ARP，**不能禁止终端本机发出 ARP 帧**；终端电脑本机依然会发送免费 ARP，但交换机不会把这个报文广播给网络内其他设备，网关就收不到。

## 简短总结

1. arp‑detection 不是禁止终端发 ARP；**非法 ARP 报文交换机直接丢弃，合法 ARP 才会继续广播转发**。
2. 网关收到冲突 ARP 报文，说明这条源 IP 为网关 IP 的 ARP 报文**没有被 arp‑detection 拦截放行出去了**，优先排查 user‑bind 静态绑定是否完整、是否错误配置 arp‑detection trust 信任端口。
3. IPSG 只管普通 IP 流量，**不能过滤 ARP 报文**，ARP 报文必须依靠 arp‑detection 校验拦截。