抓包发现好多arp 广播_ARP故障案例分享

前言

地址解析协议，即ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。

主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址。收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。

ARP是网络中一种很基础却又很重要的协议，一旦出现问题，造成的故障影响范围很大。

案例回顾

向客户了解故障发生的范围。据客户反映基本所有的接入终端都会不定时发生断网后自动恢复，而且当局域网中的一台终端断网时，另一台接在同一台接入交换机下的终端却能正常上网。

面对这种无规律的断网现象，怀疑是局域网内部出现环路了，打算从交换机开始排查问题。登陆核心和接入交换机，查看生成树的状态后，发现生成树运行正常。接着检查交换机的运行状态、日志等信息，进行多方面的排查后，发现交换机运行正常。这时怀疑是终端有病毒，尝试在终端上进行杀毒，但也没有检查出病毒。

发现终端在断网时，ARP表项里的网关消失了。决定尝试在断网时，对断网的终端和去往网关的链路进行抓包分析。先选择一台经常断网的终端，在终端上长ping网关，并且在该终端上联的接入交换机端口进行镜像抓包，当出现断网时的数据包