- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
15-ARP攻击防御配置
本章节下载： 15-ARP攻击防御配置 (234.36 KB)
目 录
本文中的“SPE单板”指的是单板丝印以“SPE”开头（如SPE-1020-E-II）的单板。
ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。
· 攻击者可以仿冒用户、仿冒网关发送伪造的ARP报文，使网关或主机的ARP表项不正确，从而对网络进行攻击。
· 攻击者通过向设备发送大量目标IP地址不能解析的IP报文，使得设备试图反复地对目标IP地址进行解析，导致CPU负荷过重及网络流量过大。
· 攻击者向设备发送大量ARP报文，对设备的CPU形成冲击。
关于ARP攻击报文的特点以及ARP攻击类型的详细介绍，请参见“ARP攻击防范技术白皮书”。
目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行防范、检测和解决。
下面将详细介绍一下这些技术的原理以及配置。
|
配置任务 |
说明 |
详细配置 |
||
|
防止泛洪攻击 |
配置ARP防止IP报文攻击功能 |
配置ARP源抑制功能 |
可选 建议在网关设备上配置本功能 |
|
|
配置ARP黑洞路由功能 |
可选 建议在网关设备上配置本功能 |
|||
|
配置源MAC地址固定的ARP攻击检测功能 |
可选 建议在网关设备上配置本功能 |
|||
|
防止仿冒用户、仿冒网关攻击 |
配置ARP报文源MAC地址一致性检查功能 |
可选 建议在网关设备上配置本功能 |
||
|
配置ARP主动确认功能 |
可选 建议在网关设备上配置本功能 |
|||
|
配置ARP严格主动确认功能 |
可选 建议在网关设备上配置本功能 |
|||
|
配置配置授权ARP功能 |
可选 建议在网关设备上配置本功能 |
|||
如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：
· 设备向目的网段发送大量ARP请求报文，加重目的网段的负载。
· 设备会试图反复地对目标IP地址进行解析，增加了CPU的负担。
为避免这种IP报文攻击所带来的危害，设备提供了下列两个功能：
· 如果发送攻击报文的源是固定的，可以采用ARP源抑制功能。开启该功能后，以每5秒为单位时间，当在5秒的单位时间内由某特定主机发出IP报文触发的ARP请求报文的数量超过设置的阈值，那么对这台主机随后发出的所有IP报文，设备不允许其再触发ARP请求，并丢弃这些IP报文。直至这5秒结束后，设备允许这台主机重新触发ARP请求，并重复以上的操作，从而避免了恶意攻击所造成的危害。
· 如果发送攻击报文的源不固定，可以采用ARP黑洞路由功能。开启该功能后，一旦接收到目标IP地址不能解析的IP报文，设备立即产生一个黑洞路由，使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间（缺省的老化时间是25秒）过后，如有报文触发则再次发起解析，如果解析成功则进行转发，否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击，减轻CPU的负担。
表1-2 配置ARP源抑制功能
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
使能ARP源抑制功能 |
arp source-suppression enable |
必选 缺省情况下，ARP源抑制功能处于关闭状态 |
|
配置ARP源抑制的阈值 |
arp source-suppression limit limit-value |
可选 缺省情况下，ARP源抑制的阈值为10 |
表1-3 配置ARP黑洞路由功能
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
使能ARP黑洞路由功能 |
arp resolving-route enable |
可选 缺省情况下，ARP黑洞路由功能处于开启状态 |
在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP源抑制的运行情况，通过查看显示信息验证配置的效果。
表1-4 ARP源抑制显示和维护
|
操作 |
命令 |
|
显示ARP源抑制的配置信息 |
display arp source-suppression [ | { begin | exclude | include } regular-expression ] |
本特性根据ARP报文的源MAC地址进行统计，在5秒内，如果收到同一源MAC地址的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印Log信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的模式为监控模式，则只打印Log信息，不会将该源MAC地址发送的ARP报文过滤掉。
对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该MAC地址存在攻击也不会被检测、过滤。
只对上送CPU的ARP报文进行统计。
当检查模式为过滤模式时，VLAN接口上检测到攻击MAC地址后，来自该MAC地址的ARP报文以及来自或发往该MAC地址的IP报文都会被过滤。
表1-5 配置源MAC地址固定的ARP攻击检测功能
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
使能源MAC地址固定的ARP攻击检测功能，并选择检查模式 |
arp anti-attack source-mac { filter | monitor } |
必选 缺省情况下，源MAC地址固定的ARP攻击检测功能处于关闭状态 |
|
配置源MAC地址固定的ARP报文攻击检测的阈值 |
arp anti-attack source-mac threshold threshold-value |
可选 缺省值为50，单位为个。 |
|
配置源MAC地址固定的ARP防攻击检测表项的老化时间 |
arp anti-attack source-mac aging-time time |
可选 缺省情况下，源MAC地址固定的ARP防攻击检测表项的老化时间为300秒，即5分钟 |
|
配置保护MAC地址 |
arp anti-attack source-mac exclude-mac mac-address&<1-n> |
可选 缺省情况下，没有配置任何保护MAC地址 n的最大值为10 设备最多可配置10个保护MAC地址 |
对于已添加到源MAC地址固定的ARP防攻击检测表项中的MAC地址，在等待设置的老化时间后，会重新恢复成普通MAC地址。
在完成上述配置后，在任意视图下执行display命令可以显示配置后源MAC地址固定的ARP攻击检测的运行情况，通过查看显示信息验证配置的效果。
表1-6 源MAC地址固定的ARP攻击检测显示和维护
|
操作 |
命令 |
|
显示检测到的源MAC地址固定的ARP防攻击检测表项 |
display arp anti-attack source-mac { slot slot-number | interface interface-type interface-number } [ | { begin | exclude | include } regular-expression ] |
ARP报文源MAC地址一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。
配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。
在SPE单板上，默认过滤以太网首部中源MAC地址是全0、广播MAC地址，本机MAC地址或组播MAC地址的ARP报文。
表1-7 表1-9 配置ARP报文源MAC地址一致性检查功能
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
使能ARP报文源MAC地址一致性检查功能 |
arp anti-attack valid-check enable |
必选 缺省情况下，ARP报文源MAC地址一致性检查功能处于关闭状态 |
ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。
ARP主动确认功能包括两部分：修改已有ARP表项前的主动确认、新建ARP表项前的主动确认。
· 修改已有ARP表项前的主动确认：使能ARP主动确认功能之后，当收到的ARP报文中的源MAC地址和对应ARP表项中的不同时，首先判断ARP表项刷新时间是否超过1分钟，如果没有超过1分钟，则忽略该ARP报文，不作任何处理。否则向ARP表项对应的源发送一个单播请求，如果在随后的5秒内收到对应的应答报文，则忽略之前收到的ARP攻击报文；如果没有收到应答报文，则向之前收到的ARP报文对应的源发送一个单播请求，如果在随后的5秒内收到了对应的应答报文，则根据该ARP报文更新ARP表项，否则ARP表项不会被修改。
· 新建ARP表项前的主动确认：当收到ARP报文触发新建动态ARP表项时，设备根据收到的ARP报文的源IP地址发送一个广播ARP请求报文，如果在随后的3秒内收到对应的ARP应答报文，则新建ARP表项。否则忽略之前收到ARP攻击报文，不新建ARP表项。
表1-8 配置ARP主动确认功能
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
使能ARP主动确认功能 |
arp anti-attack active-ack enable |
必选 缺省情况下，ARP主动确认功能处于关闭状态 |
ARP严格主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。
启用ARP严格主动确认功能后，设备只有收到本机发起请求的回应，需要新建或更新本地ARP表项前进行严格ARP确认，收到非本机请求的回应不进行表项学习，并输入日志。
ARP严格主动确认功能必须与ARP黑洞路由功能组合使用，否则严格模式不生效，设备仍会以ARP主动确认模式工作。关于ARP黑洞路由功能的介绍，请参见1.3.2 2. 配置ARP黑洞路由功能。
表1-9 配置ARP严格主动确认功能
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
使能ARP黑洞路由功能 |
arp resolving-route enable |
必选 |
|
使能ARP严格主动确认功能 |
arp anti-attack active-ack strict enable |
必选 缺省情况下，ARP严格主动确认功能处于关闭状态 |
关于DHCP服务器和DHCP中继的介绍，请参见“三层技术-IP业务配置指导”中的“DHCP”。
所谓授权ARP（Authorized ARP），就是根据DHCP服务器生成的租约或者DHCP中继生成的安全表项同步生成ARP表项。
使能接口的授权ARP功能后，系统会禁止该接口学习动态ARP表项，可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击，保证只有合法的用户才能使用网络资源，增加了网络的安全性。
静态ARP表项可以覆盖授权ARP表项，授权ARP表项可以覆盖动态ARP表项，但是授权ARP表项不能覆盖静态ARP表项，动态ARP表项不能覆盖授权ARP表项。
表1-10 配置授权ARP功能
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
配置DHCP服务器（DHCP中继）支持授权ARP功能 |
dhcp update arp |
必选 缺省情况下，DHCP服务器（DHCP中继）不支持授权ARP功能 |
|
使能授权ARP功能 |
arp authorized enable |
必选 缺省情况下，接口下没有使能授权ARP功能 |
如果DHCP服务器（DHCP中继）不支持授权ARP功能，当配置了arp authorized enable命令后，只是会禁止该接口学习动态ARP表项，不会同步生成授权ARP表项。
· Router A是DHCP服务器，为同一网段中的客户端动态分配IP地址，地址池网段为10.1.1.0/24。通过在接口GigabitEthernet3/1/1上启用授权ARP功能来保证客户端的合法性。
· Host通过DHCP协议从DHCP服务器获取IP地址。
图1-1 授权ARP功能典型配置组网图
(1) 配置Router A
# 配置接口的IP地址。
<RouterA> system-view
[RouterA] interface GigabitEthernet 3/1/1
[RouterA-GigabitEthernet3/1/1] ip address 10.1.1.1 24
[RouterA-GigabitEthernet3/1/1] quit
# 使能DHCP服务。
[RouterA] dhcp enable
[RouterA] dhcp server ip-pool 1
[RouterA-dhcp-pool-1] network 10.1.1.0 mask 255.255.255.0
[RouterA-dhcp-pool-1] quit
# 进入以太网接口视图。
[RouterA] interface GigabitEthernet 3/1/1
# 使能DHCP同步ARP表项功能。
[RouterA-GigabitEthernet3/1/1] dhcp update arp
# 使能接口授权ARP功能。
[RouterA-GigabitEthernet3/1/1] arp authorized enable
(2) Host获得Router A分配的IP后，在Router A查看授权ARP信息。
[RouterA] display arp all
Type: S-Static D-Dynamic A-Authorized
IP Address MAC Address VLAN ID Interface Aging Type
10.1.1.2 0012-3f86-e94c N/A GE3/1/1 N/A A
从以上信息可以获知Router A为Host动态分配的IP地址为10.1.1.2。
此后，Host与Router A通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致，否则将无法通信，保证了客户端的合法性。
· Router A是DHCP服务器，为不同网段中的客户端动态分配IP地址，地址池网段为10.10.1.0/24。
· Router B是DHCP中继，通过在接口GigabitEthernet3/1/2上启用授权ARP功能来保证客户端的合法性。
· Host通过DHCP中继从DHCP服务器获取IP地址。
图1-2 授权ARP功能典型配置组网图
(1) 配置Router A
# 配置接口的IP地址。
<RouterA> system-view
[RouterA] interface GigabitEthernet 3/1/1
[RouterA-GigabitEthernet3/1/1] ip address 10.1.1.1 24
[RouterA-GigabitEthernet3/1/1] quit
# 使能DHCP服务。
[RouterA] dhcp enable
[RouterA] dhcp server ip-pool 1
[RouterA-dhcp-pool-1] network 10.10.1.0 mask 255.255.255.0
[RouterA-dhcp-pool-1] gateway-list 10.10.1.1
[RouterA-dhcp-pool-1] quit
[RouterA] ip route-static 10.10.1.0 24 10.1.1.2
(2) 配置Router B
# 使能DHCP服务。
<RouterB> system-view
[RouterB] dhcp enable
# 配置接口的IP地址。
[RouterB] interface GigabitEthernet 3/1/1
[RouterB-GigabitEthernet3/1/1] ip address 10.1.1.2 24
[RouterB-GigabitEthernet3/1/1] quit
[RouterB] interface GigabitEthernet 3/1/2
[RouterB-GigabitEthernet3/1/2] ip address 10.10.1.1 24
# 配置GigabitEthernet3/1/2接口工作在DHCP中继模式。
[RouterB-GigabitEthernet3/1/2] dhcp select relay
[RouterB-GigabitEthernet3/1/2] quit
# 配置DHCP服务器的地址。
[RouterB] dhcp relay server-group 1 ip 10.1.1.1
# 配置GigabitEthernet3/1/2接口对应DHCP服务器组1。
[RouterB] interface GigabitEthernet 3/1/2
[RouterB-GigabitEthernet3/1/2] dhcp relay server-select 1
# 使能DHCP同步ARP表项功能。
[RouterB-GigabitEthernet3/1/2] dhcp update arp
# 使能接口授权ARP功能。
[RouterB-GigabitEthernet3/1/2] arp authorized enable
(3) Host获得Router A分配的IP后，在Router B查看授权ARP信息。
[RouterB] display arp all
Type: S-Static D-Dynamic A-Authorized
IP Address MAC Address VLAN ID Interface Aging Type
10.10.1.2 0012-3f86-e94c N/A GE3/1/2 N/A A
从以上信息可以获知Router A为Host动态分配的IP地址为10.10.1.2。
此后，Host与Router B通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致，否则将无法通信，保证了客户端的合法性。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
