【交换机】NFPP中的arp-guard，ip-guard功能开启后，经常报的一些log分析

发布时间：2013-09-25

点击量：50782

1）*Dec 26 13:37:10:%NFPP_ARP_GUARD-4-SCAN: Host<IP=1.1.1.1,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was detected.(2012-12-26 13:00:04)

a、日志内容最后面括号中的时间是检测到扫描的时间，事件产生的时间，但是日志打印的时间是条目最前面的时间戳；

b、该日志表示的是per-src-mac/per-src-ip检测条件的扫描水线（arp-guard rate-limit ）超过阀值，告警，里面包含了MAC地址信息，端口，vlan等；

c、该日志只是一个提醒功能，不会做隔离，在网关设备带机数比较大的情况下，可能会经常报这样的类似log，如果当前运行正常，可不关注；如果影响使用，或者信息比较异常（比如报的ip根本不存在），那么需要考虑可能存在的攻击，欺骗情况

d、show nfpp arp-guard scan/hosts命令来查看具体的超告警水线，超攻击水线的用户记录。

2）*Dec 26 13:46:10:%NFPP_ARP_GUARD-4-SCAN_TABLE_FULL: ARP scan table is full.

a、ARP 扫描表只保存最新的256 条记录。当ARP 扫描表满的时候，会打印日志提醒管理员，针对该日志不需要做任何处理。

b、扫描表只是存储nfpp log的地方，如果表满了那么新的日志就会覆盖旧的日志，仅此而已，该事件对用户使用不会产生任何影响。

c、可以通过clear nfpp log命令来清空专属缓冲区的log，不影响其他日志的存储。

3）*Dec 26 13:55:10:%NFPP_ARP_GUARD-4-DOS_DETECTED: Host<IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was detected.(2012-12-26 13:43:04)

a、设备检测到有arp攻击的事件的日志记录，基于per-src-mac的攻击水线达到告警值，设备记录了该用户的MAC，端口，vlan信息。

b、这个信息也只是作为提醒，不会做硬件隔离，但是超过扫描阀值的部分报文会被设备丢弃，已保护cpu。

c、如果检测的信息包含的都是合法的用户，并且经过管理员确认后确认不存在攻击可能性的话，那么需要考虑是否是大用户数的情况，或者是否流量比较大，此时可能需要考虑调整arp-guard里面的各项参数到合理的值。

d、show nfpp arp-guard scan/hosts命令来查看具体的超告警水线，超攻击水线的用户记录。

4）*Dec 26 14:19:10:%NFPP_ARP_GUARD-4-ISOLATED:Host <IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was isolated.(2012-12-26 14:19:0）

a、管理员配置了硬件隔离功能，该用户将被隔离isolate-period时间，这段时间用户发起的任何报文都直接被硬件丢弃，不送cpu。

b、show nfpp arp-guard hosts命令可以查看被隔离的用户信息，不打*标记的用户表示已经被硬件隔离成功。

5）*Dec 26 14:23:10:%NFPP_ARP_GUARD-4-ISOLATE_FAILED: Failed to isolate host <IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1>.

(2012-12-26 14:22:50)

a、当硬件隔离失败（原因通常是内存不足或者硬件资源不足）时，打印的日志信息

b、硬件隔离功能开启会消耗slice资源，每个用户占用一条ACE，整机硬件隔离的总数254个，不可调整

6）ip-guard的日志通arp-guard的日志类似，这里不在举例。

RG-MF2920系列，2口千兆电，千兆上行，一机双网

RG-S5310-E系列，24口千兆电，万兆上行，接入层

RG-S5310-E系列，24口千兆光，万兆上行，接入层

RG-S5310-E系列，48口千兆电，万兆上行，接入层

RG-S5310-E系列，48口千兆光，万兆上行，接入层

RG-S5310-E系列新一代千兆交换机

RG-S5310-E系列，PoE+，48口千兆电，万兆上行，接入层

RG-S7800C系列融合核心交换机

RG-S7800C-X系列新一代融合核心交换机

RG-N18006-X，6槽机箱，核心层，零背板

RG-S6120系列，24口万兆光，25G上行，汇聚层

RG-S6120系列，48口万兆光，100G上行，汇聚层

RG-S6120系列融合万兆交换机

RG-EG3250新一代多业务安全网关

RG-EG3230新一代多业务安全网关

RG-EG3220新一代多业务安全网关

RG-EG3210 V2新一代多业务安全网关

RG-EG3210新一代多业务安全网关

RG-AP820-L(V3)双射频Wi-Fi 6无线AP

RG-WS7005-A多业务无线AC

RG-AP850-AR(V2)四射频Wi-Fi 6无线AP

RG-AP180-L双射频Wi-Fi 6无线AP

RG-AP880(TR)三射频Wi-Fi 6无线AP

RG-WS7208-A多业务无线AC

RG-AP880-I双射频Wi-Fi 6无线AP

RG-WS7880高性能无线AC

RG-EG2100-P V2全能PoE网关

RG-N18000-X系列

RG-N18010-X，10槽机箱，核心层，零背板

RG-EG3000XE新一代高性能综合网关

RG-EG3000UE新一代高性能综合网关

RG-WS6816高性能无线AC

RG-WS6108高性能无线AC

智能开放网络SDN控制器

RG-MACC云Wi-Fi管理平台

RG-EG3000GE新一代高性能综合网关

RG-EG3000ME新一代高性能综合网关

RG-EG3000SE新一代高性能综合网关

RG-EG3000CE新一代高性能综合网关

RG-EG2000F

RG-S2900G-E V3系列千兆交换机

RG-S2952G-E V3，48口千兆电，千兆上行，接入层

RG-IOTP锐捷物联网平台

您可能还关注的问题