H3C S3600上發(fā)現(xiàn)的一起MAC地址漂移案例

73年生人

今天發(fā)現(xiàn)一起MAC地址漂移現(xiàn)象，處理具體過(guò)程如下：
用戶A，其MAC為macA，實(shí)際接線于S3600交換機(jī)16口
用戶B，基MAC為macB，實(shí)際接線于S3600交換機(jī)2口
兩用戶接于同一臺(tái)交換機(jī)。

早上接到報(bào)告，用戶A網(wǎng)絡(luò)不通，用dis arp沖突IP檢查，發(fā)現(xiàn)其IP的MAC為macB，出現(xiàn)在交換機(jī)的16口，判斷出現(xiàn)IP沖突，于是在16口上用mac-address blackhole屏蔽此MAC
之后接到用戶B報(bào)告，其網(wǎng)絡(luò)不通，更改其IP地址，在16口上undo mac-add blackhole macB后，用dis arp 新IP檢查，發(fā)現(xiàn)macB出現(xiàn)在交換機(jī)2口，網(wǎng)絡(luò)正常。

此時(shí)用dis loop-detection檢查，沒(méi)發(fā)現(xiàn)環(huán)網(wǎng)現(xiàn)象。

這兩臺(tái)電腦都是臺(tái)式機(jī)，并且兩地相距很遠(yuǎn)，電腦沒(méi)有移動(dòng)和接線錯(cuò)誤，這種現(xiàn)象是怎么回事？

q1208c

回復(fù) 1# 73年生人
有點(diǎn)亂.

如果這兩臺(tái)機(jī)器是接在同一臺(tái)交換機(jī)上的話(因?yàn)槟銓懥藘蓚�(gè)不同的交換機(jī)).
當(dāng)你在 16口上 block macB的時(shí)候, 在 2口上的 macB不會(huì)上不了網(wǎng)的呀.


另外, 不管距離有多遠(yuǎn), 兩臺(tái)或以上的機(jī)器mac相同的可能性不是沒(méi)有. 因?yàn)楝F(xiàn)在有很多修改mac的軟件. 很多用戶又有好奇心, 喜歡試這些他覺(jué)得無(wú)害的東西.

73年生人

回復(fù) 2# q1208c
打字時(shí)打錯(cuò)了，兩用戶都接在同一臺(tái)H3C 3600交換機(jī)上的
并且發(fā)生的現(xiàn)象也是我在 16口上 block macB的時(shí)候, 在 2口上的 macB不久就來(lái)電說(shuō)不了網(wǎng)了。

   

q1208c

回復(fù) 3# 73年生人

我個(gè)人的建議, 最好是能實(shí)際看一下這兩個(gè)用戶的mac.

在交換端發(fā)生這種錯(cuò)誤的可能性不是沒(méi)有. 但實(shí)在太低了.

@雙眼皮的豬
   

73年生人

回復(fù) 4# q1208c


    有人在現(xiàn)場(chǎng)查了他們的MAC的

q1208c

回復(fù) 5# 73年生人


不是太科學(xué) ...     

katrinacamille

看起來(lái)像環(huán)路。這兩個(gè)端口的流量大不大？端口下面有沒(méi)有人私自接設(shè)備？建議對(duì)這兩個(gè)端口抓包，看看什么情況。

tangye

如果有不正常的環(huán)路，會(huì)出現(xiàn)mac沖突的

73年生人

katrinacamille 發(fā)表于 2014-02-28 10:56
看起來(lái)像環(huán)路。這兩個(gè)端口的流量大不大？端口下面有沒(méi)有人私自接設(shè)備？建議對(duì)這兩個(gè)端口抓包，看看什么情況 ...

用dis loopback-detection檢測(cè)，沒(méi)發(fā)現(xiàn)環(huán)路

qiuske

樓主不妨檢查一下是不是哪臺(tái)電腦中了ARP病毒，我之前碰到類似的問(wèn)題，開始以為是交換機(jī)工作不正常，查了半天結(jié)果還是ARP病毒作怪。