Linux ARP表异常表现为网络不通、连接超时、同一IP多MAC响应或“duplicate address detected”日志，主因包括ARP缓存污染、IP冲突、ARP欺骗及设备配置不当，需通过arp/ip neigh查表、tcpdump抓包、日志分析、本机配置核查、局域网IP源定位及安全干扰排除分层排查。
Linux系统中ARP表异常通常表现为网络不通、连接超时、同一IP被多个MAC地址响应，或日志中频繁出现“duplicate address detected”提示。核心原因多为ARP缓存污染、局域网内IP冲突、恶意ARP欺骗或网络设备配置不当。排查需从确认现象入手，逐层验证主机、交换机及周边设备行为。
确认ARP表异常的具体表现
先通过基础命令观察当前ARP状态：
- 运行 arp -n 或 ip neigh show 查看本地ARP缓存，重点关注同一IP是否对应多个MAC，或MAC地址频繁变动
- 用 tcpdump -i eth0 arp 抓取ARP流量，观察是否有大量ARP请求/应答、 gratuitous ARP（免费ARP）或非预期的ARP响应
- 检查系统日志：dmesg | grep -i "duplicate\|arp" 或 journalctl -k | grep -i conflict，确认内核是否检测到IP冲突
排查本机IP与MAC配置冲突
ARP异常常源于本机自身配置问题：
- 执行 ip addr show 核对所有接口IP，确保无重复IP（尤其是多网卡或虚拟接口场景）
- 检查是否启用了ARP代理（sysctl net.ipv4.conf.all.proxy_arp），若非必要建议关闭，避免误响应其他IP的ARP请求
- 确认 net.ipv4.conf.all.arp_ignore 和 arp_announce 值是否合理（默认0即可；设为1/2可能引发响应异常，仅在特定负载均衡场景下调整）
- 重启网络服务后仍异常？尝试临时清空ARP缓存：ip neigh flush all，再观察是否复现
定位局域网内IP冲突源
多数ARP冲突来自其他主机或设备使用了相同IP：
- 用 arping -I eth0 -c 3 192.168.1.100 向可疑IP发送ARP请求，观察响应MAC是否与预期一致
- 登录同网段交换机，查看该IP对应端口的MAC地址表（如Cisco用 show arp + show mac address-table），比对物理端口是否唯一
- 检查DHCP服务器租约列表，确认是否存在IP重复分配；若为静态IP部署，核查文档与实际配置是否一致
- 留意虚拟化环境：KVM/QEMU、Docker容器或VMware虚机可能因镜像克隆未重置网络标识，导致MAC/IP重复
排除ARP欺骗与安全干扰
当ARP响应明显异常（如网关IP对应陌生MAC），需考虑主动攻击或误配置：
- 用 arp -n | grep $(ip route | awk '/default/ {print $3}') 获取当前网关MAC，再对比真实网关设备的MAC（登录网关查或用已知可信主机验证）
- 启用静态ARP绑定临时防护：arp -s 192.168.1.1 aa:bb:cc:dd:ee:ff（仅限紧急验证，不建议长期使用）
- 检查主机是否运行ARP监控工具（如arpwatch）、IDS/IPS策略或防火墙规则，某些安全软件会拦截/伪造ARP包造成干扰
- 在交换机侧启用DAI（Dynamic ARP Inspection）或端口安全（Port Security），可有效阻断非法ARP报文
ARP问题本质是二层通信信任机制的脆弱性体现，排查关键在于分清是本机配置错误、网络规划缺陷，还是外部干扰。从现象抓包入手，结合主机、交换机、终端三方交叉验证，通常能快速定位根因。不复杂但容易忽略细节。
