华三S7503X-G
- 0关注
- 0收藏，67浏览
排查步骤：
1. 在设备上查看冲突来源MAC：
display arp | include 192.168.25.1
会看到多个MAC对应同一IP，记录非本机VLANIF25的MAC地址。
2. 根据MAC定位接入端口：
display mac-address | include <冲突MAC>
找到该MAC学习到的物理端口。
3. 顺着端口查到下联设备，确认是终端、小路由器还是其他交换机。常见原因是有人私接路由器且LAN口IP设为192.168.25.1，或某台服务器手动配置了该地址。
解决措施：
立即处理：在接入端口执行shutdown，或配置ACL临时阻断该MAC通信，恢复网络稳定。
根本解决：找到冲突设备修改IP。若为接入交换机，可在端口上开启DHCP Snooping和ARP Detection（需全局启用DHCP Snooping），防止私接设备干扰。
若无法物理排查，可在网关开启ARP防攻击：
arp anti-attack valid-check enable
arp anti-attack active-ack enable
但最有效仍是定位并移除冲突源。
建议先从display arp和display mac-address入手，快速锁定端口后现场处理。
暂无评论
VLAN25 广播域内存在另一台设备也使用了 192.168.25.1，发送 ARP 报文和本交换机 VLANIF25 网关冲突，终端 ARP 表项会在交换机网关 MAC 和非法设备 MAC 之间来回震荡，造成上网不稳定、丢包、访问时断时续H3C。
一、先定位冲突源 MAC、入端口
1、开启 IP 冲突记录（如未开启）
system‑view
arp user‑ip‑conflict record enable
2、查看冲突记录，获取冲突 MAC 地址
<H3C> display arp user‑ip‑conflict record
输出会看到：冲突 IP192.168.25.1，Old‑MAC（S7503X‑G VLANIF25 网关 MAC）、New‑MAC（非法冲突设备 MAC）、收到该 ARP 报文的入接口H3C。
如果记录为空，查看设备日志：
<H3C> display logbuffer | include conflict
3、根据非法 MAC 查物理接入端口
拿到冲突的非法 MAC 之后，在 S7503X‑G 查询 MAC 地址表，定位到接入的物理端口：
<H3C>display mac‑address‑table address xxxx‑xxxx‑xxxx
得到冲突设备接入在哪个端口 / 哪个下联接入交换机。
注意：如果 MAC 学到的是 Trunk 口，说明冲突设备不在本机，在该 Trunk 下联的接入交换机下，需要到下联交换机继续查该 MAC，一层一层追踪。
二、常见冲突来源（现场重点排查）
- 接错旧路由器 / 防火墙：把家用路由器、旧防火墙 LAN 口接入 VLAN25，LAN 口 IP 恰好是 192.168.25.1；
- 测试设备、备用设备静态写了网关 IP，忘记修改；
- 两台三层交换机都配置 VLANIF25，都写相同 IP（未部署 VRRP 却配置了相同接口 IP）；
- 虚拟机、服务器手动静态配置写成网关 IP；
- 设备故障 / 病毒仿冒网关发送 ARP 报文。
重要区分：
- 如果是真实设备配置了 192.168.25.1：找到设备修改 IP 或者下线设备；
- 如果是 ARP 欺骗攻击（源 MAC 频繁变化），需要部署 ARP‑Detection 防网关欺骗。
三、临时缓解 + 根治配置
临时应急
找到冲突设备，断开网线，VLAN25 业务立刻恢复稳定。
根治方案 1：正常环境，找到冲突设备，修改 IP 地址（优先）
找到冲突源设备，修改它的 IP，不要占用网关 192.168.25.1。
根治方案 2：防止后续仿冒网关（VLAN25 内部署 ARP‑Detection）
适用于接入交换机；S7503X‑G 作为核心，下联接入设备开启 ARP‑Detection，网关端口配置 trust，拦截仿冒网关 ARP 报文。
system‑view
vlan 25
arp‑detection enable
interface GigabitEthernet 1/0/x #上联核心端口，配置trust
arp‑detection trust
用户接入端口不配置 trust，非法仿冒网关 ARP 报文直接丢弃，避免网关 IP 冲突震荡。
根治方案 3：如果是 VRRP 组网，注意不要把 VLANIF 物理 IP 和 VRRP 虚拟 IP 写重
很多人搞错：VLANIF 接口真实 IP≠VRRP 虚拟 IP，两台核心 VLANIF 需要不同实 IP，VRRP 用虚拟 IP 做网关。
四、验证业务恢复
- 处理完冲突源后，在 S7503X‑G 查看不再出现 IP 冲突日志；
display arp user‑ip‑conflict record
- VLAN25 下 PC 执行
arp -a，确认网关 192.168.25.1 对应的 MAC 固定为 S7503X‑G 的 VLANIF25 接口 MAC，不再跳动； - 长 ping 网关，确认无丢包，网络恢复稳定。
补充排查命令
display interface Vlan‑interface 25
display arp | include 192.168.25.1
display logbuffer | include ARP
display mac‑address‑table vlan 25
⚠️不要直接修改核心 VLANIF25 网关 IP，内网终端网关需要同步变更，优先找到冲突设备处理。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论