soho路由 - 蚂蚁网-多维人生，三实而立！

欢迎关注:1，欢迎关注本博客，你可点击右手边的【QQ邮件订阅】订阅本博客！2，本博客推出江湖救急计划，主要为工作中遇到疑难杂症的兄弟提供远程技术支持和分析，如有需要，请在江湖救急计划页面给我留言！

两台soho级小路由之间的“正义”之战

作者：易隐者发布于：2012-10-16 9:49 Tuesday 分类：案例讨论

某用户反应访问互联网经常出现缓慢的情况，向我们发出支援请求。小鲍在现场抓包发现，内部存在两个MAC地址，每秒共发送6万多个免费ARP（IP地址为192.168.1.1）报文，如下图所示：

后经MAC地址分析并通告交换机MAC表，找到这两个MAC的设备为两个小路由器，用户说明因其部分办公室接入点不够，将小路由器当小交换机给信息点不够的办公室使用。

小鲍经现场测试发现奇怪的现象：

1，当关闭其中一台路由之后，另一台小路由器发免费ARP报文的频率变为每秒1000多个；
2，当两台小路由器全部开启接入办公网时，其发送免费ARP报文的频率迅速攀升至每秒30000多个；

每秒1000多个免费ARP报文的发包频率在一般的以太网内应该影响不大，终端使用者至少不会感觉到明显的速度变慢情况。那么问题来了：

为什么一台在线没什么问题而两台同时在线发包频率就会出现这种质的变化呢？

接下来我们一起来分析一下。

小路由发送免费ARP报文的目的就是防止内部存在伪造默认网关地址192.168.1.1的免费ARP报文实施ARP欺骗的主机，其1秒发送1000多个免费ARP报文可以保证路由下所有的主机ARP表中网关地址（192.168.1.1）的MAC对应关系维持正确。因为大部分的ARP欺骗的发包频率并不需要非常快。

但是当小路由器检测到（收到）来自于其他MAC的免费ARP（192.168.1.1）报文后，其认为是内部主机在实施ARP欺骗行为，因此逐步提高了其发免费ARP报文的频率，而这个动作会在两个小路由上同步进行，由此导致的后果就是，在其性能可承受的范围内，双方不断的增加其发送免费ARP报文的频率。其交互过程示意图大致如下：