酒店核心交换机显示多个网关地址arp冲突告警

细化无线的业务VLAN 

需要定位到具体冲突的终端ARP信息，找到终端

先确认下是否真的冲突

第一部分：无线 AC 侧优化（根治误报源头，最重要）

AC 旁挂核心，VAP‑profile 下修改客户端 IP 学习模式，只允许 DHCP 成功后才学习客户端 IP，拒绝终端缓存旧 IP、探测报文，减少异常 ARP 上送到核心网关。

learn‑client‑address dhcp‑strict：终端必须完成 DHCP 获取地址，AC 才记录客户端 IP；终端休眠重连发带旧缓存 IP 的 ARP 探测报文，AC 不再学习该 IP，不会把异常 ARP 透传到核心网关。

第二部分：DHCP 参数优化（酒店环境）

1. DHCP 服务器租期不要太长，酒店建议4‑8 小时，匹配客人入住时长；
2. DHCP 服务器开启地址释放处理，尽量避免：终端休眠断开，地址回收，但交换机 ARP 表还残留旧表项；
3. DHCP 地址池排除网关 IP、AC、AP、服务器静态 IP，防止 DHCP 意外分配网关 IP。

第三部分：核心交换机优化，减少震荡

1. 抑制 STP TC 频繁刷新 ARP 表项（酒店接入 POE 交换机）

接入 POE 交换机下联 AP 端口配置边缘端口，避免 AP 上下线触发 TC，TC 会让核心 ARP 表快速老化，加剧 ARP 冲突告警。

2. 网关 VLAN 开启 ARP‑gateway‑protect 网关保护，过滤仿冒网关 ARP 报文，只允许真正网关 MAC 的 ARP 报文通过，丢弃终端发来源 IP 等于网关 IP 的 ARP 报文。

3. 调整 ARP 老化时间，匹配 DHCP 租期，不要设置过大过小

第四部分：告警抑制（仅确认是大量无线终端误告警，业务完全正常才做，不要直接关闭全部 ARP 安全告警）

⚠️不建议直接全关 ARP 冲突告警，否则真出现真实网关 IP 冲突故障时收不到告警；只关闭【本地网关 IP 冲突的 trap 上送】，日志还保留，可以看日志排查真实故障。

区分两个告警：

1. local‑conflict：收到 ARP 报文源 IP 等于本机 Vlanif 网关 IP，但 MAC 不是本机，就是刷屏的网关冲突告警；关闭 trap，日志仍然写本地 logbuffer，方便事后排查；
2. user‑ip‑conflict：终端‑终端之间 IP 冲突，这个告警建议保留，用于发现真实客人终端 IP 冲突故障。

排查判断清单（现场操作顺序）

1. display arp ip‑conflict track，确认冲突 MAC 是无线终端网卡 MAC，还是网络设备 MAC；
   • 冲突 MAC 是手机笔记本 MAC：误告警，执行 AC+DHCP+STP 优化，按需抑制 trap；
   • 冲突 MAC 是防火墙 / 别的交换机 MAC：真实网关 IP 冲突，立刻排查网络，不能直接抑制告警；
2. 检查接入 POE 交换机下联 AP 端口是否配置stp edged‑port enable；
3. AC 检查 VAP‑profile 是否配置learn‑client‑address dhcp‑strict；
4. DHCP 地址池确认排除网关 IP，租期配置合理。