Catalyst交换机DAI告警

下载选项

PDF (296.8 KB)
在各种设备上使用 Adobe Reader 查看
ePub (153.0 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (166.0 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2010 年 6 月 3 日

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

技术领域

LAN

硬件平台

Catalyst交换机

软件版本

所有

问题描述

Catalyst交换机上启用DHCP Snooping以及DAI（Dynamic ARP Inspection）功能，目的是防止出现DHCP假冒以及ARP欺骗攻击。其中，DAI功能的实现需要借助DHCP Snooping建立的IP与MAC地址的绑定表。

启用该功能后，发现交换机的某些端口每天不定时的发出大量ARP检测告警，告警发生时，相关联的PC无法访问网络，需要通过重新插拔网线来恢复。

故障诊断步骤

首先DAI功能是基于DHCP snooping建立的binding表项为依据来进行ARP报文的合法性的， DHCP snooping功能通过在DHCP snooping untrust接口的DHCP消息获得该接口下客户端的MAC、IP address、VLAN和Port四个参数建立唯一的binding表，每个MAC地址只能绑定唯一的IP地址。

例：

Cat4507#show ip dhcp snooping binding 
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
------------------  ---------------  ----------  -------------  ----  --------------------
00:21:97:13:C5:8B   82.0.255.99      619391      dhcp-snooping   425   GigabitEthernet3/17
00:10:DC:72:8B:90   82.0.255.81      1312129     dhcp-snooping   425   GigabitEthernet3/19

当交换机在使能DAI的VLAN端口收到ARP报文时，会检查其源IP及MAC地址，如果地址与binding表项一致，则允许通过并转发，如果和DHCP binding表项不统一，则认为是非法ARP报文并丢弃，同时系统打印告警日志。

在问题发生时，发生以下ARP检测告警信息：

Jan 29 08:53:14.049 BJT: %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on Gi3/26, 
vlan 425.([000a.e4c1.b8b7/82.0.255.163/0000.0000.0000/82.0.255.254/08:53:13 BJT Fri Jan 29 2010])

这条告警信息的含义是，

交换机收在G3/26端口收到了一个ARP request报文，源IP及MAC地址分别为000a.e4c1.b8b7/82.0.255.163，需要请求IP地址为82.l0.255.254的MAC地址。交换机将该报文的源IP和MAC与本地的DHCP snooping binding表进行匹配检查，发现源MAC和IP与表项中信息不一致，认为是非法ARP请求报文，丢弃了该ARP请求包并打印了日志。

接着，对发生告警的交换机端口进行镜像抓包，发现以下现象：

客户端开机后，通过DHCP协议正常获取了IP地址，此时可以正常访问网络，交换机上也建立了正确的DHCP snooping 绑定表项，没有DAI告警日志。此时，客户PC获得了IP地址为82.0.239.66。

同时在交换机上也可以看到绑定表项的正确建立：

Cat4507#show ip dhcp snooping binding interface gigabitEthernet 4/3
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
------------------  ---------------  ----------  -------------  ----  --------------------
00:1A:6B:3A:8B:B6   82.0.239.66      2591916     dhcp-snooping   424   GigabitEthernet4/3

在客户PC获得IP地址后不久，又再次发出DHCP Discovery报文来向DHCP服务器申请IP地址。DHCP服务器响应了请求，分配了83.0.239.89给客户端。

同一时间，交换机上的绑定表项也更新为新IP地址：

Cat4507#show ip dhcp snooping binding interface gigabitEthernet 4/3
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
------------------  ---------------  ----------  -------------  ----  --------------------
00:1A:6B:3A:8B:B6   82.0.239.89      2591999     dhcp-snooping   424   GigabitEthernet4/3

新的绑定表项建立后，交换机开始出现大量ARP检测告警日志：

Mar 31 15:41:52.927 BJT: %SW_DAI-4-DHCP_SNOOPING_DENY: 2 Invalid ARPs (Req) on 
Gi4/3, vlan 
424.([001a.6b3a.8bb6/82.0.239.66/0000.0000.0000/82.0.239.254/15:41:52 BJT Wed 
Mar 31 2010])
Mar 31 15:41:53.927 BJT: %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on 
Gi4/3, vlan 
424.([001a.6b3a.8bb6/82.0.239.66/0000.0000.0000/82.0.239.254/15:41:53 BJT Wed 
Mar 31 2010])

下一步计划

客户确认是Windows的RAS（Remote Access Service）服务发起了第二次DHCP申请。故建议客户或者取消PC机的RAS服务，抑或停止相应交换机接口下的DAI检测功能。