H3C S3600上发现的一起MAC地址漂移案例

73年生人

今天发现一起MAC地址漂移现象，处理具体过程如下：
用户A，其MAC为macA，实际接线于S3600交换机16口
用户B，基MAC为macB，实际接线于S3600交换机2口
两用户接于同一台交换机。

早上接到报告，用户A网络不通，用dis arp冲突IP检查，发现其IP的MAC为macB，出现在交换机的16口，判断出现IP冲突，于是在16口上用mac-address blackhole屏蔽此MAC
之后接到用户B报告，其网络不通，更改其IP地址，在16口上undo mac-add blackhole macB后，用dis arp 新IP检查，发现macB出现在交换机2口，网络正常。

此时用dis loop-detection检查，没发现环网现象。

这两台电脑都是台式机，并且两地相距很远，电脑没有移动和接线错误，这种现象是怎么回事？

q1208c

回复 1# 73年生人
有点乱.

如果这两台机器是接在同一台交换机上的话(因为你写了两个不同的交换机).
当你在 16口上 block macB的时候, 在 2口上的 macB不会上不了网的呀.


另外, 不管距离有多远, 两台或以上的机器mac相同的可能性不是没有. 因为现在有很多修改mac的软件. 很多用户又有好奇心, 喜欢试这些他觉得无害的东西.

73年生人

回复 2# q1208c
打字时打错了，两用户都接在同一台H3C 3600交换机上的
并且发生的现象也是我在 16口上 block macB的时候, 在 2口上的 macB不久就来电说不了网了。

   

q1208c

回复 3# 73年生人

我个人的建议, 最好是能实际看一下这两个用户的mac.

在交换端发生这种错误的可能性不是没有. 但实在太低了.

@双眼皮的猪
   

73年生人

回复 4# q1208c


    有人在现场查了他们的MAC的

q1208c

回复 5# 73年生人


不是太科学 ...     

katrinacamille

看起来像环路。这两个端口的流量大不大？端口下面有没有人私自接设备？建议对这两个端口抓包，看看什么情况。

tangye

如果有不正常的环路，会出现mac冲突的

73年生人

katrinacamille 发表于 2014-02-28 10:56
看起来像环路。这两个端口的流量大不大？端口下面有没有人私自接设备？建议对这两个端口抓包，看看什么情况 ...

用dis loopback-detection检测，没发现环路

qiuske

楼主不妨检查一下是不是哪台电脑中了ARP病毒，我之前碰到类似的问题，开始以为是交换机工作不正常，查了半天结果还是ARP病毒作怪。