- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
29-ARP
本章节下载： 29-ARP (316.35 KB)
ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。
在局域网中，当主机或其它网络设备有数据要发送给另一个主机或设备时，它必须知道对方的网络层地址（即IP地址）。但是仅仅有IP地址是不够的，因为IP数据报文必须封装成帧才能通过物理网络发送，因此发送站还必须有接收站的物理地址，所以需要一个从IP地址到物理地址的映射。ARP就是实现这个功能的协议。
ARP报文分为ARP请求和ARP应答报文，报文格式如下图所示。
图1-1 ARP报文结构
· 硬件类型：表示硬件地址的类型。它的值为1表示以太网地址。
· 协议类型：表示要映射的协议地址类型。它的值为0x0800即表示IP地址。
· 硬件地址长度和协议地址长度分别指出硬件地址和协议地址的长度，以字节为单位。对于以太网上IP地址的ARP请求或应答来说，它们的值分别为6和4。
· 操作类型（OP）：1表示ARP请求，2表示ARP应答。
· 发送端MAC地址：发送方设备的硬件地址。
· 发送端IP地址：发送方设备的IP地址。
· 目标MAC地址：接收方设备的硬件地址。
· 目标IP地址：接收方设备的IP地址。
假设主机A和B在同一个网段，主机A要向主机B发送信息。如图1-2所示，具体的地址解析过程如下：
(1) 主机A首先查看自己的ARP表，确定其中是否包含有主机B对应的ARP表项。如果找到了对应的MAC地址，则主机A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给主机B。
(2) 如果主机A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为主机A的IP地址和MAC地址，目标IP地址和目标MAC地址为主机B的IP地址和全0的MAC地址。由于ARP请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请求的主机（即主机B）会对该请求进行处理。
(3) 主机B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端（即主机A）的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A，其中包含了自己的MAC地址。
(4) 主机A收到ARP响应报文后，将主机B的MAC地址加入到自己的ARP表中以用于后续报文的转发，同时将IP数据包进行封装后发送出去。
图1-2 ARP地址解析过程
当主机A和主机B不在同一网段时，主机A就会先向网关发出ARP请求，ARP请求报文中的目标IP地址为网关的IP地址。当主机A从收到的响应报文中获得网关的MAC地址后，将报文封装并发给网关。如果网关没有主机B的ARP表项，网关会广播ARP请求，目标IP地址为主机B的IP地址，当网关从收到的响应报文中获得主机B的MAC地址后，就可以将报文发给主机B；如果网关已经有主机B的ARP表项，网关直接把报文发给主机B。
设备通过ARP解析到目的MAC地址后，将会在自己的ARP表中增加IP地址到MAC地址的映射表项，以用于后续到同一目的地报文的转发。
ARP表项分为动态ARP表项和静态ARP表项。
动态ARP表项由ARP协议通过ARP报文自动生成和维护，可以被老化，可以被新的ARP报文更新，可以被静态ARP表项覆盖。当到达老化时间、接口down时会删除相应的动态ARP表项。
静态ARP表项通过手工配置和维护，不会被老化，不会被动态ARP表项覆盖。
配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。
一般情况下，ARP动态执行并自动寻求IP地址到以太网MAC地址的解析，无需管理员的介入。
免费ARP报文是一种特殊的ARP报文，该报文中携带的发送者IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。
设备通过对外发送免费ARP报文来实现以下功能：
· 确定其它设备的IP地址是否与本机IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。
· 设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。
使能了免费ARP报文学习功能后，设备会根据收到的免费ARP报文中携带的信息（源IP地址、源MAC地址）对自身维护的ARP表进行修改。设备先判断ARP表中是否存在与此免费ARP报文源IP地址对应的ARP表项：
· 如果没有对应的ARP表项，设备会根据该免费ARP报文中携带的信息新建ARP表项。
· 如果存在对应的ARP表项，设备会根据该免费ARP报文中携带的信息更新对应的ARP表项。
关闭免费ARP报文学习功能后，设备不会根据收到的免费ARP报文来新建ARP表项，但是会更新已存在的对应ARP表项。如果用户不希望通过免费ARP报文来新建ARP表项，可以关闭免费ARP报文学习功能，以节省ARP表项资源。
在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如下图所示。页面显示所有ARP表项的信息。
(1) 在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如图1-3所示。
(2) 单击<新建>按钮，进入新建静态ARP表项的配置页面，如下图所示。
(3) 配置静态ARP表项的信息，详细配置如下表所示。
(4) 单击<确定>按钮完成操作。
表1-1 静态ARP表项的详细配置
|
配置项 |
说明 |
|
|
IP地址 |
设置静态ARP表项的IP地址 |
|
|
MAC地址 |
设置静态ARP表项的MAC地址 |
|
|
高级选项 |
VLAN ID |
设置静态ARP表项所属的VLAN和端口
指定的VLAN ID必须是已经创建好的VLAN的ID，且指定的端口必须属于这个VLAN；指定的VLAN ID对应的VLAN虚接口必须已经创建 |
|
端口 |
||
(1) 在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如图1-3所示。
(2) 删除ARP表项，详细配置如下表所示。
表1-2 删除ARP表项的详细配置
|
功能 |
配置方法 |
|
删除指定的ARP表项 |
在列表中选中指定ARP表项前的复选框，单击<删除选中>按钮 |
|
删除所有静态和动态ARP表项 |
单击<删除所有静态和动态表项>按钮 |
|
删除所有静态ARP表项 |
单击<删除所有静态表项>按钮 |
|
删除所有动态ARP表项 |
单击<删除所有动态表项>按钮 |
(1) 在导航栏中选择“网络 > ARP管理”。
(2) 单击“免费ARP”页签，进入如下图所示的页面。
图1-5 免费ARP
(3) 配置免费ARP功能，详细配置如下表所示。
表1-3 免费ARP功能的详细配置
|
配置项 |
说明 |
|
关闭学习免费ARP报文 |
设置是否关闭免费ARP报文学习功能 缺省情况下，免费ARP报文学习功能处于开启状态 |
|
收到非同一网段ARP请求时发送免费ARP报文 |
设置开启收到非同一网段ARP请求时发送免费ARP报文功能 缺省情况下，收到非同一网段ARP请求时不发送免费ARP报文 |
· Switch A连接主机，通过接口GigabitEthernet1/0/1连接Router B。接口GigabitEthernet1/0/1属于VLAN 100。
· Router B的IP地址为192.168.1.1/24，MAC地址为00e0-fc01-0000。
为了增加Switch A和Router B通信的安全性，可以在Switch A上配置静态ARP表项。
图1-6 静态ARP配置组网图
(1) 创建VLAN 100。
步骤1：在导航栏中选择“网络 > VLAN”。
步骤2：单击“创建”页签。
步骤3：如下图所示，输入VLAN ID为“100”。
步骤4：单击<创建>按钮完成操作。
(2) 将端口GigabitEthernet1/0/1加入到VLAN 100中。
步骤1：单击“修改端口”页签。
步骤2：进行如下配置，如下图所示。
· 在设备面板示意图中选择端口“GigabitEthernet1/0/1”。
· 选择操作类型为“Untagged”。
· 输入VLAN IDs为“100”。
步骤3：单击<应用>按钮，弹出配置进度对话框。
步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。
图1-8 将端口添加到VLAN 100中
(3) 创建Vlan-interface100。
步骤1：在导航栏中选择“网络 > VLAN虚接口”。
步骤2：单击“创建”页签。
步骤3：进行如下配置，如下图所示。
· 输入VLAN ID为“100”。
· 选中“配置IPv4地址”前的复选框。
· 选中“手工”前的单选按钮。
· 输入IPv4地址为“192.168.1.2”。
· 输入掩码长度为“24”或“255.255.255.0”。
步骤4：单击<应用>按钮完成操作。
图1-9 创建Vlan-interface100
(4) 配置静态ARP表项。
步骤1；在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面。
步骤2：单击<新建>按钮。
步骤3：进行如下配置，如下图所示。
· 输入IP地址为“192.168.1.1”。
· 输入MAC地址为“00e0-fc01-0000”。
· 选中“高级选项”前的复选框。
· 输入VLAN ID为“100”。
· 选择端口为“GigabitEthernet1/0/1”。
步骤4：单击<确定>按钮完成操作。
图1-10 新建静态ARP表项
ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。ARP Detection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。
通过Web页面配置ARP Detection可以实现两个功能：用户合法性检查、ARP报文有效性检查。
对于ARP信任端口，不进行用户合法性检查；对于ARP非信任端口，需要进行用户合法性检查，以防止仿冒用户的攻击。
用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在端口上的合法用户，包括基于DHCP Snooping安全表项的检查、基于802.1X安全表项的检查和OUI MAC地址的检查。只要符合三者中任何一个，就认为该ARP报文合法，进行转发。其中，OUI MAC地址检查指的是，只要ARP报文的源MAC地址为OUI MAC地址，并且使能了Voice VLAN功能，就认为是合法报文，检查通过。如果所有检查都没有找到匹配的表项，则认为是非法报文，直接丢弃。
对于ARP信任端口，不进行报文有效性检查；对于ARP非信任端口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。
· 对于源MAC地址的检查模式，会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致则认为有效，否则丢弃报文。
· 对于目的MAC地址的检查模式（只针对ARP应答报文），会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，无效的报文需要被丢弃。
· 对于IP地址检查模式，会检查ARP报文中的源IP和目的IP地址，全0、全1、或者组播IP地址都是不合法的，需要丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。
配置用户合法性检查功能时，必须至少配置DHCP Snooping功能或802.1X功能，否则所有从ARP非信任端口收到的ARP报文都将被丢弃（使能了语音VLAN功能的情况下，源MAC地址为OUI MAC地址的ARP报文不会被丢弃）。
(1) 在导航栏中选择“网络 > ARP防攻击”，默认进入“ARP Detection”页签的页面，如下图所示。
(2) 配置ARP Detection功能，详细配置如下表所示。
(3) 单击<确定>按钮完成操作。
表2-1 ARP Detection的详细配置
|
配置项 |
说明 |
|
VLAN配置 |
设置要使能ARP Detection功能的VLAN 在“未使能VLAN”列表框中选中一个或多个VLAN，单击“<<”按钮，可以将选中的VLAN添加到“已使能VLAN”列表框中；在“已使能VLAN”列表框中选中一个或多个VLAN，单击“>>”按钮，可以将选中的VLAN添加到“未使能VLAN”列表框中 |
|
信任端口 |
设置ARP信任端口和非信任端口 在“非信任端口”列表框中选中一个或多个端口，单击“<<”按钮，可以将选中的端口添加到“信任端口”列表框中；在“信任端口”列表框中选中一个或多个端口，单击“>>”按钮，可以将选中的端口添加到“非信任端口”列表框中 |
|
报文检查 |
设置对ARP报文进行有效性检查的方式，包括： · 如果ARP报文中的源MAC地址和以太网报文头中的源MAC地址不一致，则丢弃此ARP报文 · 如果ARP应答报文中的目的MAC地址是全0、全1或者和以太网报文头中的目的MAC地址不一致，则丢弃此ARP报文 · 如果ARP应答报文的源IP地址和目的IP地址或ARP请求报文的源IP地址是全0、全1或者组播IP地址，则丢弃此ARP报文 如果配置了报文检查方式，则先进行ARP报文有效性检查，再进行用户合法性检查；如果未配置任何报文检查方式，则不对ARP报文进行有效性检查 |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
