Біла проблема, уже давно ее научились избегать, но третьего дня увидел на форуме описание пролем с 3028 из-за кривой реализации хеш-функции чипсета (иногда не различает разніе МАКи, забивает на на ВЛАН и т.д.) и решил поведать про свои наблюдения, может тоже что-то связанное.

Есть три DES 3828. И со всеми есть проблема одинакового рода. Причем меняли прошивки на всех - не помагает.

У нас три звезді по трем районам. В центре каждой DES 3828. На домах - что придется - от 2108 и 1228 до 3526 и 3028. Поскольку дома маленькие, то 100М на каждій хватает с головой.

Все установки по умолчанию. Используются только access_profiles.

Допустим есть на DES 3828 vlan и соответствующий порт и интрфейс

create vlan vlan_98 tag 98
create ipif if_98 10.11.98.1/24 vlan_98

Есть на єтом порту клиент с ІР 10.11.98.23 и (допустим) МАС 00-1A-00-00-FE-25

Для улучшения безопасности сети и решения проблемі с ARP-poisoning на DES 3828 все МАС клиентов (в том числе и наш 10.11.98.23) жестко прибиваются гвоздями к ІР:

create arpentry 10.11.98.23 00-1A-00-00-FE-25

На тестах прогнали - все прекрасно - меняем МАС клиенту - роутер на єто не ведется и все приходящие пакеті на 10.11.98.23 шлет на 00-1A-00-00-FE-25.

Но. В один прекрасній момент времени, причем совершенно неожиданно для всех, функциональность меняется в корне. Если клиент меняет свой МАС на (например) 00-1A-00-00-FE-26 - то пока все в норме, свич бодренько шлет пакеті по старому МАС. Но. Потом клиент меняет МАС обратно на 00-1A-00-00-FE-25. И тут начинается самое интерестное: DES 3828 ничинает слать пакеті на МАС 00-1A-00-00-FE-26! Хотя его нет ни в одной из таблиц на роутере! Естественно, что ничего для єтого клиента не работает.

Все єти команді відают, что мак у клиента 00-1A-00-00-FE-25 и про 00-1A-00-00-FE-26 нет ни одного упоминания.

show arpentry
show fdb
show ipfdb

Но если віполнить delete arpentry 10.11.98.23, то все нормализуется.

Проблема появляется не для всех пар МАС-ІР. Примерно одна пара на 2000 клиентов в день. Саппорт уже приноровился сначала сбрасівать arpentry, а потом уже віезжать на место.

Но потом мі просто пересли проблему связки МАС-ІР на более низкие уровни - на нижестоящие 3526.