目  录

1 ARP攻击防御

1.1 ARP攻击防御简介

1.2 ARP攻击防御配置任务简介

1.3 配置ARP防止IP报文攻击功能

1.3.1 ARP防止IP报文攻击功能简介

1.3.2 配置ARP防止IP报文攻击功能

1.3.3 ARP防止IP报文攻击显示和维护

1.4 配置源MAC地址固定的ARP攻击检测功能

1.4.1 源MAC地址固定的ARP攻击检测功能简介

1.4.2 配置源MAC地址固定的ARP攻击检测功能

1.4.3 源MAC地址固定的ARP攻击检测显示和维护

1.5 配置ARP报文源MAC地址一致性检查功能

1.5.1 ARP报文源MAC地址一致性检查功能简介

1.5.2 配置ARP报文源MAC地址一致性检查功能

1.6 配置ARP主动确认功能

1.6.1 ARP主动确认功能简介

1.6.2 配置ARP主动确认功能

1.7 配置ARP严格主动确认功能

1.7.1 ARP严格主动确认功能简介

1.7.2 配置ARP严格主动确认功能

1.8 配置授权ARP功能

1.8.1 授权ARP功能简介

1.8.2 配置授权ARP功能

1.8.3 授权ARP功能在DHCP服务器上的典型配置举例

1.8.4 授权ARP功能在DHCP中继上的典型配置举例

1.9 配置ARP Detection功能

1.9.1 ARP Detection功能简介

1.9.2 配置ARP Detection功能

1.9.3 ARP Detection显示和维护

1.9.4 用户合法性检查配置举例

1 ARP攻击防御

1.1  ARP攻击防御简介

ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。

·     攻击者可以仿冒用户、仿冒网关发送伪造的ARP报文，使网关或主机的ARP表项不正确，从而对网络进行攻击。

·     攻击者通过向设备发送大量目标IP地址不能解析的IP报文，使得设备试图反复地对目标IP地址进行解析，导致CPU负荷过重及网络流量过大。

·     攻击者向设备发送大量ARP报文，对设备的CPU形成冲击。

关于ARP攻击报文的特点以及ARP攻击类型的详细介绍，请参见“ARP攻击防范技术白皮书”。

目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行防范、检测和解决。

下面将详细介绍一下这些技术的原理以及配置。

1.2  ARP攻击防御配置任务简介

表1-1 ARP攻击防御配置任务简介

1.3  配置ARP防止IP报文攻击功能

1.3.1  ARP防止IP报文攻击功能简介

如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：

·     设备向目的网段发送大量ARP请求报文，加重目的网段的负载。

·     设备会试图反复地对目标IP地址进行解析，增加了CPU的负担。

为避免这种IP报文攻击所带来的危害，设备提供了下列两个功能：

·     如果发送攻击报文的源是固定的，可以采用ARP源抑制功能。开启该功能后，以每5秒为单位时间，当在5秒的单位时间内由某特定主机发出IP报文触发的ARP请求报文的数量超过设置的阈值，那么对这台主机随后发出的所有IP报文，设备不允许其再触发ARP请求，并丢弃这些IP报文。直至这5秒结束后，设备允许这台主机重新触发ARP请求，并重复以上的操作，从而避免了恶意攻击所造成的危害。

·     如果发送攻击报文的源不固定，可以采用ARP黑洞路由功能。开启该功能后，一旦接收到目标IP地址不能解析的IP报文，设备立即产生一个黑洞路由，使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间（缺省的老化时间是25秒）过后，如有报文触发则再次发起解析，如果解析成功则进行转发，否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击，减轻CPU的负担。

1.3.2  配置ARP防止IP报文攻击功能

1. 配置ARP源抑制功能

表1-2 配置ARP源抑制功能

2. 配置ARP黑洞路由功能

表1-3 配置ARP黑洞路由功能

1.3.3  ARP防止IP报文攻击显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP源抑制的运行情况，通过查看显示信息验证配置的效果。

表1-4 ARP源抑制显示和维护

1.4  配置源MAC地址固定的ARP攻击检测功能

1.4.1  源MAC地址固定的ARP攻击检测功能简介

本特性根据ARP报文的源MAC地址进行统计，在5秒内，如果收到同一源MAC地址的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印Log信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的模式为监控模式，则只打印Log信息，不会将该源MAC地址发送的ARP报文过滤掉。

对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该MAC地址存在攻击也不会被检测、过滤。

只对上送CPU的ARP报文进行统计。

1.4.2  配置源MAC地址固定的ARP攻击检测功能

表1-5 配置源MAC地址固定的ARP攻击检测功能

1.4.3  源MAC地址固定的ARP攻击检测显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后源MAC地址固定的ARP攻击检测的运行情况，通过查看显示信息验证配置的效果。

表1-6 源MAC地址固定的ARP攻击检测显示和维护

1.5  配置ARP报文源MAC地址一致性检查功能

1.5.1  ARP报文源MAC地址一致性检查功能简介

ARP报文源MAC地址一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。

配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。

1.5.2  配置ARP报文源MAC地址一致性检查功能

表1-7 表1-9 配置ARP报文源MAC地址一致性检查功能

1.6  配置ARP主动确认功能

1.6.1  ARP主动确认功能简介

ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。

ARP主动确认功能包括两部分：修改已有ARP表项前的主动确认、新建ARP表项前的主动确认。

·     修改已有ARP表项前的主动确认：使能ARP主动确认功能之后，当收到的ARP报文中的源MAC地址和对应ARP表项中的不同时，首先判断ARP表项刷新时间是否超过1分钟，如果没有超过1分钟，则忽略该ARP报文，不作任何处理。否则向ARP表项对应的源发送一个单播请求，如果在随后的5秒内收到对应的应答报文，则忽略之前收到的ARP攻击报文；如果没有收到应答报文，则向之前收到的ARP报文对应的源发送一个单播请求，如果在随后的5秒内收到了对应的应答报文，则根据该ARP报文更新ARP表项，否则ARP表项不会被修改。

·     新建ARP表项前的主动确认：当收到ARP报文触发新建动态ARP表项时，设备根据收到的ARP报文的源IP地址发送一个广播ARP请求报文，如果在随后的3秒内收到对应的ARP应答报文，则新建ARP表项。否则忽略之前收到ARP攻击报文，不新建ARP表项。

1.6.2  配置ARP主动确认功能

表1-8 配置ARP主动确认功能

1.7  配置ARP严格主动确认功能

1.7.1  ARP严格主动确认功能简介

ARP严格主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。

启用ARP严格主动确认功能后，设备只有收到本机发起请求的回应，需要新建或更新本地ARP表项前进行严格ARP确认，收到非本机请求的回应不进行表项学习，并输入日志。

ARP严格主动确认功能必须与ARP黑洞路由功能组合使用，否则严格模式不生效，设备仍会以ARP主动确认模式工作。关于ARP黑洞路由功能的介绍，请参见1.3.2  2. 配置ARP黑洞路由功能。

1.7.2  配置ARP严格主动确认功能

表1-9 配置ARP严格主动确认功能

1.8  配置授权ARP功能

1.8.1  授权ARP功能简介

所谓授权ARP（Authorized ARP），就是根据DHCP服务器生成的租约或者DHCP中继生成的安全表项同步生成ARP表项。

使能接口的授权ARP功能后，系统会禁止该接口学习动态ARP表项，可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击，保证只有合法的用户才能使用网络资源，增加了网络的安全性。

1.8.2  配置授权ARP功能

表1-10 配置授权ARP功能

1.8.3  授权ARP功能在DHCP服务器上的典型配置举例

1. 组网需求

·     Router A是DHCP服务器，为同一网段中的客户端动态分配IP地址，地址池网段为10.1.1.0/24。通过在接口GigabitEthernet3/1/1上启用授权ARP功能来保证客户端的合法性。

·     Host通过DHCP协议从DHCP服务器获取IP地址。

2. 组网图

图1-1 授权ARP功能典型配置组网图

3. 配置步骤

(1)     配置Router A

# 配置接口的IP地址。

<RouterA> system-view

[RouterA] interface GigabitEthernet 3/1/1

[RouterA-GigabitEthernet3/1/1] ip address 10.1.1.1 24

[RouterA-GigabitEthernet3/1/1] quit

# 使能DHCP服务。

[RouterA] dhcp enable

[RouterA] dhcp server ip-pool 1

[RouterA-dhcp-pool-1] network 10.1.1.0 mask 255.255.255.0

[RouterA-dhcp-pool-1] quit

# 进入以太网接口视图。

[RouterA] interface GigabitEthernet 3/1/1

# 使能DHCP同步ARP表项功能。

[RouterA-GigabitEthernet3/1/1] dhcp update arp

# 使能接口授权ARP功能。

[RouterA-GigabitEthernet3/1/1] arp authorized enable

(2)     Host获得Router A分配的IP后，在Router A查看授权ARP信息。

[RouterA] display arp all

                Type: S-Static    D-Dynamic    A-Authorized

IP Address       MAC Address     VLAN ID  Interface          Aging  Type

10.1.1.2         0012-3f86-e94c  N/A      GE3/1/1            N/A    A  

从以上信息可以获知Router A为Host动态分配的IP地址为10.1.1.2。

此后，Host与Router A通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致，否则将无法通信，保证了客户端的合法性。

1.8.4  授权ARP功能在DHCP中继上的典型配置举例

1. 组网需求

·     Router A是DHCP服务器，为不同网段中的客户端动态分配IP地址，地址池网段为10.10.1.0/24。

·     Router B是DHCP中继，通过在接口GigabitEthernet3/1/2上启用授权ARP功能来保证客户端的合法性。

·     Host通过DHCP中继从DHCP服务器获取IP地址。

2. 组网图

图1-2 授权ARP功能典型配置组网图

3. 配置步骤

(1)     配置Router A

# 配置接口的IP地址。

<RouterA> system-view

[RouterA] interface GigabitEthernet 3/1/1

[RouterA-GigabitEthernet3/1/1] ip address 10.1.1.1 24

[RouterA-GigabitEthernet3/1/1] quit

# 使能DHCP服务。

[RouterA] dhcp enable

[RouterA] dhcp server ip-pool 1

[RouterA-dhcp-pool-1] network 10.10.1.0 mask 255.255.255.0

[RouterA-dhcp-pool-1] gateway-list 10.10.1.1

[RouterA-dhcp-pool-1] quit

[RouterA] ip route-static 10.10.1.0 24 10.1.1.2

(2)     配置Router B

# 使能DHCP服务。

<RouterB> system-view

[RouterB] dhcp enable

# 配置接口的IP地址。

[RouterB] interface GigabitEthernet 3/1/1

[RouterB-GigabitEthernet3/1/1] ip address 10.1.1.2 24

[RouterB-GigabitEthernet3/1/1] quit

[RouterB] interface GigabitEthernet 3/1/2

[RouterB-GigabitEthernet3/1/2] ip address 10.10.1.1 24

# 配置GigabitEthernet3/1/2接口工作在DHCP中继模式。

[RouterB-GigabitEthernet3/1/2] dhcp select relay

[RouterB-GigabitEthernet3/1/2] quit

# 配置DHCP服务器的地址。

[RouterB] dhcp relay server-group 1 ip 10.1.1.1

# 配置GigabitEthernet3/1/2接口对应DHCP服务器组1。

[RouterB] interface GigabitEthernet 3/1/2

[RouterB-GigabitEthernet3/1/2] dhcp relay server-select 1

# 使能DHCP同步ARP表项功能。

[RouterB-GigabitEthernet3/1/2] dhcp update arp

# 使能接口授权ARP功能。

[RouterB-GigabitEthernet3/1/2] arp authorized enable

(3)     Host获得Router A分配的IP后，在Router B查看授权ARP信息。

[RouterB] display arp all

                Type: S-Static    D-Dynamic    A-Authorized

IP Address       MAC Address     VLAN ID  Interface          Aging Type

10.10.1.2        0012-3f86-e94c  N/A      GE3/1/2            N/A    A

从以上信息可以获知Router A为Host动态分配的IP地址为10.10.1.2。

此后，Host与Router B通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致，否则将无法通信，保证了客户端的合法性。

1.9  配置ARP Detection功能

1.9.1  ARP Detection功能简介

ARP Detection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。

ARP Detection包含三个功能：用户合法性检查、ARP报文有效性检查、ARP报文强制转发。

1. 用户合法性检查

对于ARP信任端口，不进行用户合法性检查；对于ARP非信任端口，需要进行用户合法性检查，以防止仿冒用户的攻击。

用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在端口上的合法用户，包括基于用户合法性规则的检查、基于IP Source Guard静态绑定表项的检查、基于802.1X安全表项的检查。

(1)     首先进行基于用户合法性规则的检查。如果在配置的规则中找到与报文匹配的规则，则按照规则对ARP报文进行处理。如果在用户合法性规则中没有找到与报文匹配的规则，则继续进行基于IP Source Guard静态绑定表项的检查、基于802.1X安全表项的检查。

(2)     在基于用户合法性规则的检查之后，如果未匹配，则进行基于IP Source Guard静态绑定表项检查。如果找到了对应源IP地址和源MAC地址的静态绑定表项，认为该ARP报文合法，进行转发。如果找到了对应源IP地址的静态绑定表项但源MAC地址不符，认为该ARP报文非法，进行丢弃。如果没有找到对应源IP地址的静态绑定表项，继续进行802.1X安全表项。

(3)     在基于IP Source Guard静态绑定表项检查之后，如果未匹配，则进行基于802.1X安全表项，只要符合三者中任何一个，就认为该ARP报文合法，进行转发。

(4)     如果所有检查都没有找到匹配的表项，则认为是非法报文，直接丢弃。

2. ARP报文有效性检查

对于ARP信任端口，不进行报文有效性检查；对于ARP非信任端口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

·     对于源MAC地址的检查模式，会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致则认为有效，否则丢弃报文；

·     对于目的MAC地址的检查模式（只针对ARP应答报文），会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，无效的报文需要被丢弃；

·     对于IP地址检查模式，会检查ARP报文中的源IP和目的IP地址，全0、全1、或者组播IP地址都是不合法的，需要丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。

3. ARP报文强制转发

对于从ARP信任端口接收到的ARP报文不受此功能影响，按照正常流程进行转发；对于从ARP非信任端口接收到的、已经通过用户合法性检查的ARP报文的处理过程如下：

·     对于ARP请求报文，通过信任端口进行转发；

·     对于ARP应答报文，首先按照报文中的以太网目的MAC地址进行转发，若在MAC地址表中没有查到目的MAC地址对应的表项，则将此ARP应答报文通过信任端口进行转发。

1.9.2  配置ARP Detection功能

1. 配置用户合法性检查功能

表1-11 配置用户合法性检查功能

2. 配置ARP报文有效性检查功能

表1-12 配置ARP报文有效性检查功能

3. 配置ARP报文强制转发功能

进行下面的配置之前，需要保证已经配置了用户合法性检查功能。

表1-13 配置ARP报文强制转发功能

1.9.3  ARP Detection显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP Detection的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令清除ARP Detection的统计信息。

表1-14 ARP Detection显示和维护

1.9.4  用户合法性检查配置举例

1. 组网需求

·     Router A是DHCP服务器；Router B是支持802.1X的设备，在VLAN 10内启用ARP Detection功能，对认证客户端进行保护，保证合法用户可以正常转发报文，否则丢弃。

·     Host A和Host B是本地802.1X接入用户。

2. 组网图

图1-3 配置用户合法性检查组网图

3. 配置步骤

(1)     配置组网图中所有端口属于VLAN及Router A对应VLAN接口的IP地址（略）

(2)     配置DHCP服务器Router A

# 配置DHCP地址池0。

<RouterA> system-view

[RouterA] dhcp enable

[RouterA] dhcp server ip-pool 0

[RouterA-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0

(3)     配置客户端Host A和Host B（略），必须使用上传IP地址方式。

(4)     配置设备Router B

# 配置dot1x功能。

<RouterB> system-view

[RouterB] dot1x

[RouterB] interface GigabitEthernet 3/1/1

[RouterB-GigabitEthernet3/1/1] port link-mode bridge

[RouterB-GigabitEthernet3/1/1] dot1x

[RouterB-GigabitEthernet3/1/1] quit

[RouterB] interface GigabitEthernet 3/1/2

[RouterB-GigabitEthernet3/1/2] port link-mode bridge

[RouterB-GigabitEthernet3/1/2] dot1x

[RouterB-GigabitEthernet3/1/2] quit

# 添加本地接入用户。

[RouterB] local-user test

[RouterB-luser-test] service-type lan-access

[RouterB-luser-test] password simple test

[RouterB-luser-test] quit

# 使能ARP Detection功能，对用户合法性进行检查。

[RouterB] vlan 10

[RouterB-vlan10] arp detection enable

# 端口状态缺省为非信任状态，上行端口配置为信任状态，下行端口按缺省配置。

[RouterB-vlan10] interface GigabitEthernet 3/1/3

[RouterB-GigabitEthernet3/1/3] port link-mode bridge

[RouterB-GigabitEthernet3/1/3] arp detection trust

[RouterB-GigabitEthernet3/1/3] quit

完成上述配置后，对于端口GigabitEthernet3/1/1和GigabitEthernet3/1/2收到的ARP报文，需基于802.1X安全表项进行用户合法性检查。