EVPN 通过 ARP 抑制减少 BUM 泛洪，但该机制在 L2 与 L3 场景下均存在隐患：L2 EVPN 会误拦截合法广播 ARP，导致集群心跳与重复 IP 检测失效；L3 EVPN 则要求 ARP 老化时间低于五分钟，否则引发路由黑洞。工程师需在开启抑制前评估应用依赖，并统一调整老化阈值。
L2 EVPN：ARP 抑制破坏合法广播流量
EVPN 控制平面在本地缓存远端 MAC 后，直接代答 ARP 请求，不再将广播报文转发至 VXLAN 隧道。原文指出，许多应用集群仍以广播 ARP 作为节点间保活，且未改用单播 ARP 或 GARP（不应被抑制）。ARP 探测报文源 IP 为 0.0.0.0，用于重复 IP 检测，规范实现不应抑制，但早期厂商实现曾误拦截导致故障。现代交换机转发直通流量为线速，BUM 复制能力亦高，但抑制逻辑强制将所有广播 ARP 陷入 CPU，受控平面策略保护，大量 ARP 流量易造成丢包与查询无应答。
CPU 陷阱与硬件转发的矛盾
ARP 抑制要求所有过境广播 ARP 报文经 CPU 处理，控制平面策略限制了处理速率。原文提到，各类 Bug 或 TCAM 错配可能导致全部 ARP 报文被丢弃，或仅在特定 VLAN 丢包，大型网络中排查极难。Cisco Nexus 系列默认关闭 ARP 抑制，需显式开启；原文未给出其他厂商默认策略的具体数据。
L3 EVPN：ARP 老化时间必须小于五分钟
在 L3 EVPN 场景下，远端主机 MAC 通过路由条目分发，本地 ARP 表项若过期未刷新，会触发广播 ARP 请求，但抑制机制可能阻断该请求到达远端，造成通信中断。原文明确建议将 ARP 超时设置为五分钟以内，确保表项在抑制生效前完成刷新，避免路由黑洞。
运维层面，建议在全网推行 ARP 抑制前完成应用流量画像，确认无广播 ARP 心跳与探测依赖；同步下发 ARP 超时 ≤ 300 秒策略，并在变更窗口观察 CPU 队列丢包计数。若厂商默认关闭抑制（如 Cisco Nexus），应显式记录开启风险，避免因 TCAM 错配导致单 VLAN ARP 全丢且难以排查。
原文: APNIC Blog（2021-12-01）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog