Linux

关注公众号 jb51net

关闭
首页 > 网站技巧 > 服务器 > Linux > 多网卡同网段IP引发的ARP Flux

多网卡同网段IP引发的ARP Flux问题

作者：云计算-Security

ARPFlux是一种网络现象,多宿主主机或代理ARP可能导致同一个IP地址的多个不同MAC地址响应,引起网络通信异常,要避免ARPFlux,应禁用不必要的代理ARP、检查IP冲突并进行网络分段

什么是 ARP Flux？

ARP Flux 是一种网络现象，通常发生在具有多个网络接口（多宿主）的主机上，当主机对同一个 IP 地址的 ARP 请求做出多个不同 MAC 地址的响应时出现。

这种情况可能导致网络通信异常，如数据包被错误地路由或丢弃。

ARP Flux 的原因：

1.多宿主主机（Multihomed Host）

2.代理 ARP（Proxy ARP）

3.IP 地址冲突

ARP Flux 的影响：

1.网络不稳定

2.通信中断

3.ARP 表抖动

ARP Flux 案例分析

A 主机的 IP 配置如下（即存在 ARP Flux 的主机）：

[root@ism ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: enp125s0f0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether b0:4f:a6:7a:23:96 brd ff:ff:ff:ff:ff:ff
    inet 10.1.88.94/24 brd 10.1.88.255 scope global noprefixroute enp125s0f0
       valid_lft forever preferred_lft forever
    inet6 fe80::b4a:6afe:afb9:3cf8/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: enp125s0f1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether b0:4f:a6:7a:23:97 brd ff:ff:ff:ff:ff:ff
    inet 10.1.89.3/24 brd 10.1.89.255 scope global dynamic noprefixroute enp125s0f1
       valid_lft 29975sec preferred_lft 29975sec
    inet 10.1.88.95/24 brd 10.1.88.255 scope global noprefixroute enp125s0f1
       valid_lft forever preferred_lft forever
    inet6 fe80::6115:6f6d:e709:dbaf/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
4: enp125s0f2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether b0:4f:a6:7a:23:98 brd ff:ff:ff:ff:ff:ff
    inet 172.16.11.5/24 brd 172.16.11.255 scope global dynamic noprefixroute enp125s0f2
       valid_lft 31573sec preferred_lft 31573sec
    inet 172.16.11.94/24 brd 172.16.11.255 scope global secondary noprefixroute enp125s0f2
       valid_lft forever preferred_lft forever
    inet6 fe80::1c1:9d2a:5550:a9b3/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

在 B 主机上验证是否存在 ARP Flux：

[root@arsen ~]# arping -f -I enp125s0f0 10.1.88.94
ARPING 10.1.88.94 from 172.16.11.97 enp125s0f0
Unicast reply from 10.1.88.94 [B0:4F:A6:7A:23:98]  0.604ms
Sent 1 probes (1 broadcast(s))
Received 1 response(s)
[root@arsen ~]# 
[root@arsen ~]# arping -f -I enp125s0f0 10.1.88.95
ARPING 10.1.88.95 from 172.16.11.97 enp125s0f0
Unicast reply from 10.1.88.95 [B0:4F:A6:7A:23:98]  0.571ms
Sent 1 probes (1 broadcast(s))
Received 1 response(s)
[root@arsen ~]# 
[root@arsen ~]# arping -f -I enp125s0f0 172.16.11.94
ARPING 172.16.11.94 from 172.16.11.97 enp125s0f0
Unicast reply from 172.16.11.94 [B0:4F:A6:7A:23:98]  0.596ms
Sent 1 probes (1 broadcast(s))
Received 1 response(s)

从测试结果来看，A 主机存在 ARP Flux 问题，因为：

10.1.88.94 和 10.1.88.95 都返回了相同的 MAC 地址 B0:4F:A6:7A:23:98（属于 enp125s0f2）。

这表明 ARP 响应被错误地代理或劫持。

服务器抓包：

# A主机抓包
tcpdump -i any -nn "arp" -w arp_capture.pcap

# B主机发送探测包
arping -f 10.1.88.94
arping -f 10.1.88.95

包分析：

可见都是返回 b0:4f:a6:7a:23:98 MAC 地址，该地址属于 enp125s0f2，发生了 ARP Flux。

ARP Flux 对业务影响？

原本客户端只想收到来自目标主机 10.1.88.94 对应网卡 enp125s0f0 的 MAC 地址 b0:4f:a6:7a:23:96（ARP 响应），而现在确收到的是 enp125s0f2 的 MAC 地址 b0:4f:a6:7a:23:98（ARP 响应）。

于是：

如何避免 ARP Flux？

调整主机 ARP 行为

# 全局ARP规范
echo 'net.ipv4.conf.all.arp_ignore = 1' >> /etc/sysctl.conf      # 禁止非本机接口IP的ARP响应
echo 'net.ipv4.conf.all.arp_announce = 2' >> /etc/sysctl.conf    # 始终使用最佳本地IP响应ARP

# 单接口子网隔离，让每个接口只对自己拥有的 IP 发 ARP 回复，防止“越界抢答”（可选）
# echo 'net.ipv4.conf.enp125s0f0.arp_filter = 1' >> /etc/sysctl.conf
# echo 'net.ipv4.conf.enp125s0f1.arp_filter = 1' >> /etc/sysctl.conf

# 使配置生效（实时）
sysctl -p

禁用不必要的代理 ARP

在路由器或防火墙上关闭不必要的代理 ARP 功能。

检查 IP 冲突

确保网络中不存在重复的 IP 地址。

网络分段

如果可能，将多宿主主机放在不同的子网中，避免 ARP 混乱。

总结

以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。

您可能感兴趣的文章:
阅读全文