14-ARP攻击防御命令
本章节下载: 14-ARP攻击防御命令 (154.54 KB)
1.1.1 arp resolving-route enable
1.1.2 arp source-suppression enable
1.1.3 arp source-suppression limit
1.1.4 display arp source-suppression
1.2.2 arp source-mac aging-time
1.2.3 arp source-mac exclude-mac
1.2.4 arp source-mac threshold
arp resolving-route enable命令用来开启ARP黑洞路由功能。
undo arp resolving-route enable命令用来关闭ARP黑洞路由功能。
undo arp resolving-route enable
缺省情况下,ARP黑洞路由功能处于开启状态。
如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备,则会造成下面的危害:
· 设备向目的网段发送大量ARP请求报文,加重目的网段的负载。
· 设备会试图反复地对目标IP地址进行解析,增加了CPU的负担。
如果发送攻击报文的源不固定,可以采用ARP黑洞路由功能。开启该功能后,一旦接收到目标IP地址不能解析的IP报文,设备立即产生一个黑洞路由,使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间过后,如有报文触发则再次发起解析,如果解析成功则进行转发,否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击,减轻CPU的负担。
# 开启ARP黑洞路由功能。
[Sysname] arp resolving-route enable
arp source-suppression enable命令用来使能ARP源地址抑制功能。
undo arp source-suppression enable命令用来恢复缺省情况。
undo arp source-suppression enable
ARP源地址抑制功能处于关闭状态。
# 使能ARP源地址抑制功能。
[Sysname] arp source-suppression enable
· display arp source-suppression
arp source-suppression limit命令用来配置ARP源抑制的阈值。
undo arp source-suppression limit命令用来恢复缺省情况。
arp source-suppression limit limit-value
undo arp source-suppression limit
ARP源抑制的阈值为10。
limit-value:ARP源抑制的阈值,即设备在5秒间隔内可以处理的源IP相同,但目的IP地址不能解析的IP报文的最大数目,取值范围为2~1024。
如果网络中每5秒内从某IP地址向设备某接口发送目的IP地址不能解析的IP报文超过了设置的阈值,则设备将不再处理由此IP地址发出的IP报文直至该5秒结束,从而避免了恶意攻击所造成的危害。
# 配置ARP源抑制的阈值为100。
[Sysname] arp source-suppression limit 100
· display arp source-suppression
display arp source-suppression命令用来显示当前ARP源抑制的配置信息。
display arp source-suppression
# 显示当前ARP源抑制的配置信息。
<Sysname> display arp source-suppression
ARP source suppression is enabled
Current suppression limit: 100
表1-1 display arp source-suppression显示信息描述表
ARP源地址抑制功能处于使能状态 |
|
设备在5秒时间间隔内可以接收到的源IP相同,但目的IP地址不能解析的IP报文的最大数目 |
arp source-mac命令用来使能源MAC地址固定的ARP攻击检测功能,并选择检查模式。
undo arp source-mac命令用来恢复缺省情况。
arp source-mac { filter | monitor }
undo arp source-mac [ filter | monitor ]
源MAC地址固定的ARP攻击检测功能处于关闭状态。
filter:检测到攻击后,打印Log信息,同时对该源MAC地址对应的ARP报文进行过滤。
monitor:检测到攻击后,只打印Log信息,不对该源MAC地址对应的ARP报文进行过滤。
使能源MAC地址固定的ARP攻击检测之后,该特性会对上送CPU的ARP报文按照源MAC地址和VLAN进行统计。当在一定时间(5秒)内收到某固定源MAC地址的ARP报文超过设定的阈值,不同模式的处理方式存在差异:在filter模式下会打印Log信息并对该源MAC地址对应的ARP报文进行过滤;在monitor模式下只打印Log信息,不过滤ARP报文。
需要注意的是,如果undo命令中没有指定检查模式,则关闭任意检查模式的源MAC地址固定的ARP攻击检测功能。
# 使能源MAC地址固定的ARP攻击检测功能,并选择filter检查模式。
[Sysname] arp source-mac filter
arp source-mac aging-time命令用来配置源MAC地址固定的ARP攻击检测表项的老化时间。
undo arp source-mac aging-time命令用来恢复缺省情况。
arp source-mac aging-time time
undo arp source-mac aging-time
源MAC地址固定的ARP攻击检测表项的老化时间为300秒,即5分钟。
time:源MAC地址固定的ARP攻击检测表项的老化时间,取值范围为60~6000,单位为秒。
# 配置源MAC地址固定的ARP攻击检测表项的老化时间为60秒。
[Sysname] arp source-mac aging-time 60
arp source-mac exclude-mac命令用来配置保护MAC地址。当配置了保护MAC地址之后,即使该ARP报文中的MAC地址存在攻击也不会被检测过滤。
undo arp source-mac exclude-mac命令用来取消配置的保护MAC地址。
arp source-mac exclude-mac mac-address&<1-n>
undo arp source-mac exclude-mac [ mac-address&<1-n> ]
没有配置任何保护MAC地址。
mac-address&<1-n>:MAC地址列表。其中,mac-address表示配置的保护MAC地址,格式为H-H-H。&<1-n>表示每次最多可以配置的保护MAC地址个数。n的取值范围为64。
如果undo命令中没有指定MAC地址,则取消所有已配置的保护MAC地址。
# 配置源MAC地址固定的ARP攻击检查的保护MAC地址为2-2-2。
[Sysname] arp source-mac exclude-mac 2-2-2
arp source-mac threshold命令用来配置源MAC地址固定的ARP报文攻击检测阈值,当在固定的时间(5秒)内收到源MAC地址固定的ARP报文超过该阈值则认为存在ARP报文攻击。
undo arp source-mac threshold命令用来恢复缺省情况。
arp source-mac threshold threshold-value
缺省情况,源MAC地址固定的ARP报文攻击检测阈值为30。
threshold-value:固定时间内源MAC地址固定的ARP报文攻击检测的阈值,单位为报文个数。设备支持的取值范围为1~5000。
# 配置源MAC地址固定的ARP报文攻击检测阈值为30个。
[Sysname] arp source-mac threshold 30
display arp source-mac命令用来显示检测到的源MAC地址固定的ARP攻击检测表项。
display arp source-mac { slot slot-number | interface interface-type interface-number }
IRF模式:
interface interface-type interface-number:显示指定接口检测到的源MAC地址固定的ARP攻击检测表项,interface-type interface-number表示指定接口的类型和编号。
slot slot-number:显示指定单板检测到的源MAC地址固定的ARP攻击检测表项。slot-number表示单板所在的槽位号。(独立运行模式)
chassis chassis-number slot slot-number:显示指定成员设备上指定单板检测到的源MAC地址固定的ARP攻击检测表项。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。(IRF模式)
# 显示检测到的源MAC地址固定的ARP攻击检测表项。
<Sysname> display arp source-mac slot 2
Source-MAC VLAN ID Interface Aging-time
23f3-1122-3344 4094 GE2/0/1 10
23f3-1122-3355 4094 GE2/0/2 30
23f3-1122-33ff 4094 GE2/0/3 25
23f3-1122-33ad 4094 GE2/0/4 30
23f3-1122-33ce 4094 GE2/0/5 2
表1-2 display arp source-mac命令显示信息描述表
ARP防攻击策略表项老化剩余时间 |
arp valid-check enable命令用来开启ARP报文源MAC地址一致性检查功能。
undo arp valid-check enable命令用来关闭ARP报文源MAC地址一致性检查功能。
ARP报文源MAC地址一致性检查功能处于关闭状态。
ARP报文源MAC地址一致性检查功能主要应用于网关设备。
开启ARP报文源MAC地址一致性检查功能后,设备会对接收的ARP报文进行检查,如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同,则丢弃该报文。
# 使能ARP报文源MAC地址一致性检查功能。
[Sysname] arp valid-check enable
arp active-ack enable命令用来使能ARP主动确认功能。
undo arp active-ack enable命令用来恢复缺省情况。
arp active-ack [ strict ] enable
undo arp active-ack [ strict ] enable
ARP主动确认功能处于关闭状态。
strict:ARP主动确认功能的严格模式。
ARP的主动确认功能主要应用于网关设备,防止攻击者仿冒用户欺骗网关设备。通过strict参数使能或关闭主动确认的严格模式。使能严格模式后,ARP主动确认功能执行更严格的检查,新建ARP表项前,需要本设备先对其IP地址发起ARP解析,解析成功后才能触发正常的主动确认流程,在主动确认流程成功后,才允许设备学习该表项。
# 使能ARP主动确认功能。
[Sysname] arp active-ack enable
arp authorized enable命令用来使能接口下的授权ARP功能。
undo arp authorized enable命令用来恢复缺省情况。
接口下的授权ARP功能处于关闭状态。
三层以太网接口视图/三层以太网子接口视图/三层聚合接口视图/三层聚合子接口视图/VLAN接口视图
# 使能接口下授权ARP功能。
[Sysname] interface gigabitethernet 2/0/1
[Sysname-GigabitEthernet2/0/1] arp authorized enable
arp fixup命令用来配置ARP固化功能,将当前的动态ARP表项转换为静态ARP表项。后续学习到的动态ARP表项可以通过再次执行arp fixup命令进行固化。
固化后的静态ARP表项与配置产生的静态ARP表项相同。
固化生成的静态ARP表项数量同样受到设备可以支持的静态ARP表项数目的限制,由于静态ARP表项数量的限制可能导致只有部分动态ARP表项被固化。
如果用户执行固化前有D个动态ARP表项,S个静态ARP表项,由于固化过程中存在动态ARP表项的老化或者新建动态ARP表项的情况,所以固化后的静态ARP表项可能为(D+S+M-N)个。其中,M为固化过程中新建的动态ARP表项个数,N为固化过程中老化的动态ARP表项个数。
通过固化生成的静态ARP表项,可以通过命令行undo arp ip-address [ vpn-instance-name ]逐条删除,也可以通过命令行reset arp all或reset arp static全部删除。
# 配置ARP固化功能。
[Sysname] arp fixup
arp scan命令用来启动ARP自动扫描功能,该功能可以对接口下指定地址范围内的邻居进行扫描。
arp scan [ start-ip-address to end-ip-address ]
三层以太网接口视图/三层以太网子接口视图/VLAN接口视图/三层聚合接口视图/三层聚合子接口视图
start-ip-address:ARP扫描区间的起始IP地址。起始IP地址必须小于等于终止IP地址。
end-ip-address:ARP扫描区间的终止IP地址。终止IP地址必须大于等于起始IP地址。
· 如果用户知道局域网内邻居分配的IP地址范围,指定了ARP扫描区间,则对该范围内的邻居进行扫描,减少扫描等待的时间。如果指定的扫描区间同时在接口下多个IP地址的网段内,则发送的ARP请求报文的源IP地址选择网段范围较小的接口IP地址。
· 如果用户不指定ARP扫描区间的起始IP地址和终止IP地址,则仅对接口下的主IP地址网段内的邻居进行扫描。其中,发送的ARP请求报文的源IP地址就是接口的主IP地址。
· ARP扫描区间的起始IP地址和终止IP地址必须与接口的IP地址(主IP地址或手工配置的从IP地址)在同一网段。
· 对于已存在ARP表项的IP地址不进行扫描。
· 扫描操作可能比较耗时,用户可以通过<Ctrl_C>来终止扫描(在终止扫描时,对于已经收到的邻居应答,会建立该邻居的动态ARP表项)。
# 对接口GigabitEthernet2/0/1下的主IP地址网段内的邻居进行扫描。
[Sysname] interface gigabitethernet 2/0/1
[Sysname-GigabitEthernet2/0/1] arp scan
# 对接口GigabitEthernet2/0/1下指定地址范围内的邻居进行扫描。
[Sysname] interface gigabitethernet 2/0/1
[Sysname-GigabitEthernet2/0/1] arp scan 1.1.1.1 to 1.1.1.20
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!