目  录

1 ARP配置

1.1 ARP简介

1.1.1 ARP作用

1.1.2 ARP报文结构

1.1.3 ARP地址解析过程

1.1.4 ARP表

1.2 配置ARP

1.2.1 手工添加静态ARP表项

1.2.2 配置接口学习动态ARP表项的最大数目

1.2.3 配置动态ARP表项的老化时间

1.2.4 使能ARP表项的检查功能

1.2.5 ARP配置举例

1.3 配置免费ARP

1.3.1 免费ARP简介

1.3.2 配置免费ARP

1.4 ARP显示和维护

2 ARP攻击防御配置

2.1 ARP攻击防御配置任务简介

2.2 配置ARP源抑制功能

2.2.1 ARP源抑制功能简介

2.2.2 配置ARP源抑制

2.2.3 ARP源抑制显示和维护

2.3 配置ARP主动确认功能

2.3.1 ARP主动确认功能简介

2.3.2 配置ARP主动确认功能

2.4 配置源MAC地址固定的ARP攻击检测功能

2.4.1 源MAC地址固定的ARP攻击检测功能简介

2.4.2 配置源MAC地址固定的ARP攻击检测功能

2.4.3 源MAC地址固定的ARP攻击检测显示和维护

2.5 配置ARP报文源MAC一致性检查功能

2.5.1 ARP报文源MAC一致性检查功能简介

2.5.2 配置ARP报文源MAC一致性检查功能

2.6 配置ARP报文限速功能

2.6.1 ARP报文限速功能简介

2.6.2 配置ARP报文限速功能

2.7 配置ARP Detection功能

2.7.1 ARP Detection功能介绍

2.7.2 配置ARP Detection功能

2.7.3 ARP Detection显示和维护

2.7.4 ARP Detection典型配置举例

1 ARP配置

1.1  ARP简介

1.1.1  ARP作用

ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。

在局域网中，当主机或其它网络设备有数据要发送给另一个主机或设备时，它必须知道对方的网络层地址（即IP地址）。但是仅仅有IP地址是不够的，因为IP数据报文必须封装成帧才能通过物理网络发送，因此发送站还必须有接收站的物理地址，所以需要一个从IP地址到物理地址的映射。APR就是实现这个功能的协议。

1.1.2  ARP报文结构

ARP报文分为ARP请求和ARP应答报文，报文格式如图1-1所示。

图1-1 ARP报文结构

l              硬件类型：表示硬件地址的类型。它的值为1表示以太网地址；

l              协议类型：表示要映射的协议地址类型。它的值为0x0800即表示IP地址；

l              硬件地址长度和协议地址长度分别指出硬件地址和协议地址的长度，以字节为单位。对于以太网上IP地址的ARP请求或应答来说，它们的值分别为6和4；

l              操作类型（OP）：1表示ARP请求，2表示ARP应答；

l              发送端MAC地址：发送方设备的硬件地址；

l              发送端IP地址：发送方设备的IP地址；

l              目标MAC地址：接收方设备的硬件地址。

l              目标IP地址：接收方设备的IP地址。

1.1.3  ARP地址解析过程

假设主机A和B在同一个网段，主机A要向主机B发送信息。如图1-2所示，具体的地址解析过程如下：

(1)        主机A首先查看自己的ARP表，确定其中是否包含有主机B对应的ARP表项。如果找到了对应的MAC地址，则主机A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给主机B。

(2)        如果主机A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为主机A的IP地址和MAC地址，目标IP地址和目标MAC地址为主机B的IP地址和全0的MAC地址。由于ARP请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请求的主机（即主机B）会对该请求进行处理。

(3)        主机B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端（即主机A）的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A，其中包含了自己的MAC地址。

(4)        主机A收到ARP响应报文后，将主机B的MAC地址加入到自己的ARP表中以用于后续报文的转发，同时将IP数据包进行封装后发送出去。

图1-2 ARP地址解析过程

当主机A和主机B不在同一网段时，主机A就会先向网关发出ARP请求，ARP请求报文中的目标IP地址为网关的IP地址。当主机A从收到的响应报文中获得网关的MAC地址后，将报文封装并发给网关。如果网关没有主机B的ARP表项，网关会广播ARP请求，目标IP地址为主机B的IP地址，当网关从收到的响应报文中获得主机B的MAC地址后，就可以将报文发给主机B；如果网关已经有主机B的ARP表项，网关直接把报文发给主机B。

1.1.4  ARP表

设备通过ARP解析到目的MAC地址后，将会在自己的ARP表中增加IP地址到MAC地址的映射表项，以用于后续到同一目的地报文的转发。

ARP表项分为动态ARP表项和静态ARP表项。

1. 动态ARP表项

动态ARP表项由ARP协议通过ARP报文自动生成和维护，可以被老化，可以被新的ARP报文更新，可以被静态ARP表项覆盖。当到达老化时间、接口down时会删除相应的动态ARP表项。

2. 静态ARP表项

静态ARP表项通过手工配置和维护，不会被老化，不会被动态ARP表项覆盖。

配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。

静态ARP表项分为短静态ARP表项和长静态ARP表项。

l              在配置长静态ARP表项时，除了配置IP地址和MAC地址项外，还必须配置该ARP表项所在VLAN和出接口。长静态ARP表项可以直接用于报文转发。

l              在配置短静态ARP表项时，只需要配置IP地址和MAC地址项。短静态ARP表项不能直接用于报文转发，当要发送IP数据包时，先发送ARP请求报文，如果收到的响应报文中的源IP地址和源MAC地址与所配置的IP地址和MAC地址相同，则将接收ARP响应报文的接口加入该静态ARP表项中，之后就可以用于IP数据包的转发。

1.2  配置ARP

1.2.1  手工添加静态ARP表项

静态ARP表项在设备正常工作时间一直有效，当设备的ARP表项所对应的VLAN或VLAN接口被删除时，如果是长静态ARP表项则被删除，如果是已经解析的短静态ARP表项则重新变为未解析状态。

表1-1 手工添加静态ARP表项

1.2.2  配置接口学习动态ARP表项的最大数目

表1-2 配置接口学习动态ARP表项的最大数目

1.2.3  配置动态ARP表项的老化时间

为适应网络的变化，ARP表需要不断更新。ARP表中的动态ARP表项并非永远有效，每一条记录都有一个生存周期，到达生存周期仍得不到刷新的记录将被从ARP表中删除，这个生存周期被称作老化时间。如果在到达生存周期前纪录被刷新，则重新计算老化时间。用户可以根据网络实际情况调整老化时间。

表1-3 配置动态ARP的老化时间

1.2.4  使能ARP表项的检查功能

ARP表项检查功能可以控制设备是否学习MAC地址为组播MAC的ARP表项。使能ARP表项的检查功能后，若设备接收到的ARP报文中的源MAC地址为组播MAC，则不进行动态ARP表项的学习；且设备上不能配置MAC地址为组播MAC的静态ARP表项，否则会有错误提示。关闭ARP表项的检查功能后，可以对源MAC地址为组播MAC的ARP表项进行学习，且可以配置MAC地址为组播MAC的静态ARP表项。

表1-4 使能ARP表项的检查功能

1.2.5  ARP配置举例

1. 组网需求

l              Switch连接主机，通过端口GigabitEthernet1/0/1连接Router。端口GigabitEthernet1/0/1属于VLAN 10。

l              Router的IP地址为192.168.1.1/24，MAC地址为00e0-fc01-0000。

为了增加Switch和Router通信的安全性，可以在Switch上配置静态ARP表项。

2. 组网图

图1-3 配置静态ARP表项组网图

3. 配置步骤

在Switch上进行下列配置。

# 创建VLAN 10。

<Switch> system-view

[Switch] vlan 10

[Switch-vlan10] quit

# 将端口GigabitEthernet 1/0/1加入到VLAN 10中。

[Switch] interface GigabitEthernet 1/0/1

[Switch-GigabitEthernet1/0/1] port access vlan 10

[Switch-GigabitEthernet1/0/1] quit

# 创建接口Vlan-interface10，并配置IP地址。

[Switch] interface vlan-interface 10

[Switch-vlan-interface10] ip address 192.168.1.2 8

[Switch-vlan-interface10] quit

# 配置一条静态ARP表项，IP地址为192.168.1.1，对应的MAC地址为00e0-fc01-0000，此条ARP表项对应的出接口为属于VLAN 10的端口GigabitEthernet1/0/1。

[Switch] arp static 192.168.1.1 00e0-fc01-0000 10 GigabitEthernet 1/0/1

# 查看静态ARP表项信息。

[Switch] display arp static

                Type: S-Static    D-Dynamic

IP Address       MAC Address     VLAN ID  Interface              Aging Type

192.168.1.1      00e0-fc01-0000  10       GE1/0/1                 N/A   S 

1.3  配置免费ARP

1.3.1  免费ARP简介

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。

设备通过对外发送免费ARP报文，实现以下功能：

l              确定其它设备的IP地址是否与本机IP地址冲突。

l              设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。

设备通过学习免费ARP报文，实现以下功能：

对于收到的免费ARP报文，如果ARP表中没有与此报文对应的ARP表项，就将免费ARP报文中携带的信息添加到本地动态ARP映射表中。

1.3.2  配置免费ARP

表1-5 配置免费ARP

1.4  ARP显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令清除ARP表中除授权类型外的ARP表项。

表1-6 ARP显示和维护

2 ARP攻击防御配置

ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。

l              攻击者可以仿冒用户、仿冒网关发送伪造的ARP报文，使网关或主机的ARP表项不正确，从而对网络进行攻击。

l              攻击者通过向设备发送大量目标IP地址不能解析的IP报文，使得设备试图反复地对目标IP地址进行解析，导致CPU负荷过重及网络流量过大。

l              攻击者向设备发送大量ARP报文，对设备的CPU形成冲击。

关于ARP攻击报文的特点以及ARP攻击类型的详细介绍，请参见“ARP攻击防范技术白皮书”。

目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行检测和解决。

下面将详细介绍一下这些技术的原理以及配置。

2.1  ARP攻击防御配置任务简介

表2-1 ARP攻击防御配置任务简介

2.2  配置ARP源抑制功能

2.2.1  ARP源抑制功能简介

如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：

l              设备向目的网段发送大量ARP请求报文，加重目的网段的负载。

l              设备会不断解析目标IP地址，增加了CPU的负担。

为避免这种攻击所带来的危害，设备提供了ARP源抑制功能。开启该功能后，如果网络中某主机向设备某端口连续发送目标IP地址不能解析的IP报文（当每5秒内的ARP请求报文的流量超过设置的阈值），对于由此IP地址发出的IP报文，设备不允许其触发ARP请求，直至5秒后再处理，从而避免了恶意攻击所造成的危害。

2.2.2  配置ARP源抑制

表2-2 配置ARP源抑制

2.2.3  ARP源抑制显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP源抑制的运行情况，通过查看显示信息验证配置的效果。

表2-3 ARP源抑制显示和维护

2.3  配置ARP主动确认功能

2.3.1  ARP主动确认功能简介

ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。

启用ARP主动确认功能后，设备在更新ARP表项前需进行主动确认，防止产生错误的ARP表项。关于工作原理的详细介绍请参见“ARP攻击防范技术白皮书”。

2.3.2  配置ARP主动确认功能

表2-4 配置ARP主动确认功能

2.4  配置源MAC地址固定的ARP攻击检测功能

2.4.1  源MAC地址固定的ARP攻击检测功能简介

本特性根据ARP报文的源MAC地址进行统计，在5秒内，如果收到同一源MAC地址的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印告警信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的模式为监控模式，则只打印告警信息，不会将该源MAC地址发送的ARP报文过滤掉。

对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC，这样，即使该MAC存在攻击也不会被检测过滤。

只对上送CPU的ARP报文进行统计。

2.4.2  配置源MAC地址固定的ARP攻击检测功能

表2-5 配置源MAC地址固定ARP攻击检测功能

2.4.3  源MAC地址固定的ARP攻击检测显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后源MAC地址固定的ARP攻击检测的运行情况，通过查看显示信息验证配置的效果。

表2-6 源MAC固定的ARP攻击检测显示和维护

2.5  配置ARP报文源MAC一致性检查功能

2.5.1  ARP报文源MAC一致性检查功能简介

ARP报文源MAC一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。

配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。

2.5.2  配置ARP报文源MAC一致性检查功能

表2-7 配置ARP报文源MAC一致性检查功能

2.6  配置ARP报文限速功能

2.6.1  ARP报文限速功能简介

ARP报文限速功能是指对上送CPU的ARP报文进行限速，可以防止大量ARP报文对CPU进行冲击。例如，在配置了ARP Detection功能后，设备会将收到的ARP报文重定向到CPU进行检查，这样引入了新的问题：如果攻击者恶意构造大量ARP报文发往设备，会导致设备的CPU负担过重，从而造成其他功能无法正常运行甚至设备瘫痪，这个时候可以启用ARP报文限速功能来控制上送CPU的ARP报文的速率。

推荐用户在配置了ARP Detection或者发现有ARP泛洪攻击的情况下，使用ARP报文限速功能。

2.6.2  配置ARP报文限速功能

表2-8 配置ARP报文限速功能

2.7  配置ARP Detection功能

2.7.1  ARP Detection功能介绍

为了防止黑客或攻击者通过ARP报文实施“中间人”攻击，用户可以通过配置ARP Detection功能，对于合法用户的ARP报文进行正常转发，否则丢弃，从而防止“中间人”攻击。

1. “中间人”攻击简介

按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。

如图2-1所示，Host A和Host C通过Switch进行通信。此时，如果有黑客（Host B）想探听Host A和Host C之间的通信，它可以分别给这两台主机发送伪造的ARP应答报文，使Host A和Host C用MAC_B更新自身ARP映射表中与对方IP地址相应的表项。此后，Host A和Host C之间看似“直接”的通信，实际上都是通过黑客所在的主机间接进行的，即Host B担当了“中间人”的角色，可以对信息进行窃取和篡改。这种攻击方式就称作“中间人”攻击。

图2-1 ARP“中间人”攻击示意图

2. ARP Detection工作原理

某VLAN内开启ARP Detection功能后，该VLAN内所有端口接收到的ARP（请求与应答）报文将被重定向到CPU进行报文的用户合法性检查和报文有效性检查：如果认为该ARP报文合法，则进行转发；否则直接丢弃。

(1)        用户合法性检查

用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在端口上的合法用户，包括基于DHCP Snooping安全表项的检查和基于IP和MAC静态绑定表项的检查。用户可以任意选择使能哪些功能，各功能可以共存。

l              基于DHCP Snooping安全表项的检查。主要针对仿冒用户的攻击。对于ARP非信任端口，如果配置了基于DHCP Snooping安全表项检查模式且所属VLAN使能了ARP Detection功能，则从该端口上送的ARP报文需进行DHCP Snooping安全表项检查。如果查找到对应的表项，并且均与表项记录一致（IP地址，MAC地址，端口索引，VLAN ID等）则检查通过，否则如果参数不一致或者没有查找到对应的表项，则认为是攻击报文，检查不通过。对于信任端口，不进行DHCP Snooping安全表项检查。对于没有使能ARP Detection的VLAN，即使在ARP非信任端口上，也不进行DHCP Snooping安全表项检查。

l              基于IP和MAC静态绑定表项的检查。主要针对仿冒网关的攻击。不论对于ARP非信任端口，还是信任端口，只要配置了基于IP和MAC静态绑定表项检查模式且所属VLAN使能了ARP Detection功能，则从该端口上送的ARP报文需进行基于IP和MAC静态绑定表项检查。对于源IP存在绑定关系但是MAC地址不符的ARP报文，设备认为是非法报文进行丢弃处理；对于源IP不存在绑定关系和源IP存在绑定关系且MAC地址相符的ARP报文，设备认为是合法报文，检查通过。

如果同时使能基于两种表项的检查功能，则先进行IP和MAC静态绑定表项检查，然后进行DHCP Snooping安全表项检查。其中，IP和MAC静态绑定表项必须检查，用于保护网关，在IP和MAC静态绑定表项检查通过后，用户只需通过DHCP Snooping安全表项的检查，即认为用户为合法用户。后两个表项的检查都是针对仿冒用户的攻击，可以根据组网环境的不同，选择不同的检查方式：

l              当接入设备连接的用户均为DHCP动态获取IP地址的用户时，建议配置DHCP Snooping功能，并配置ARP Detection采用DHCP Snooping检查模式，设备会依据动态DHCP Snooping表项进行ARP报文的用户合法性检查。

l              当接入设备连接的用户为少量手工配置IP地址的用户时，建议配置IP Source Guard静态绑定表项，并配置ARP Detection采用DHCP Snooping检查模式，设备会依据IP Source Guard静态绑定表项进行ARP报文的用户合法性检查。

(2)        ARP报文有效性检查

对于ARP信任端口，不进行报文有效性检查；对于ARP非信任端口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

l              对于源MAC地址的检查模式，会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致认为有效，否则丢弃；

l              对于目的MAC地址的检查模式（只针对ARP应答报文），会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，无效的报文需要被丢弃；

l              对于IP地址检查模式，会检查ARP报文中的源IP和目的IP地址，全0、全1、或者组播IP地址都是不合法的，需要丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。

2.7.2  配置ARP Detection功能

1. 配置用户合法性检查功能

表2-9 配置用户合法性检查功能

2. 配置ARP报文有效性检查功能

进行下面的配置之前，需要保证已经配置了arp detection enable命令。

表2-10 配置ARP报文有效性检查功能

2.7.3  ARP Detection显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP Detection的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令清除ARP Detection的统计信息。

表2-11 ARP Detection显示和维护

2.7.4  ARP Detection典型配置举例

1. 组网需求

l              Host A是DHCP客户端；用户Host B的IP地址是10.1.1.6，MAC地址是0001-0203-0607。

l              Switch A是DHCP Snooping设备，在VLAN 10内启用ARP Detection功能，对DHCP客户端和用户进行保护，保证合法用户可以正常转发报文，否则丢弃。

2. 组网图

图2-2 ARP Detection典型配置举例组网图

3. 配置步骤

(1)        配置组网图中所有端口属于VLAN 10（略）

(2)        配置DHCP服务器（略）

(3)        配置DHCP客户端Host A和用户Host B（略）

(4)        配置设备Switch A

# 配置DHCP Snooping功能。

<SwitchA> system-view

[SwitchA] dhcp-snooping

[SwitchA] interface GigabitEthernet  1/0/3

[SwitchA-GigabitEthernet1/0/3] dhcp-snooping trust

[SwitchA-GigabitEthernet1/0/3] quit

# 使能ARP Detection功能，对用户合法性进行检查。

[SwitchA] vlan 10

[SwitchA-vlan10] arp detection enable

# 端口状态缺省为非信任状态，上行端口配置为信任状态，下行端口按缺省配置。

[SwitchA-vlan10] interface GigabitEthernet 1/0/3

[SwitchA-GigabitEthernet1/0/3] arp detection trust

[SwitchA-GigabitEthernet1/0/3] quit

# 在端口GigabitEthernet 1/0/2上配置IP Source Guard静态绑定表项。

[SwitchA] interface GigabitEthernet 1/0/2

[SwitchA-GigabitEthernet1/0/2] user-bind ip-address 10.1.1.6 mac-address 0001-0203-0607 vlan 10

[SwitchA-GigabitEthernet1/0/2] quit

# 配置IP和MAC静态绑定表项。

[SwitchA] arp detection static-bind 10.1.1.1 000f-e249-8050

# 配置采用两种检测模式进行用户合法性检查。

[SwitchA] arp detection mode dhcp-snooping

[SwitchA] arp detection mode static-bind

# 配置进行报文有效性检查。

[SwitchA] arp detection validate dst-mac ip src-mac

完成上述配置后，对于端口GigabitEthernet1/0/1和GigabitEthernet1/0/2收到的ARP报文，先进行报文有效性检查，然后基于IP和MAC静态绑定表项、DHCP Snooping安全表项进行用户合法性检查。