• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

07-安全配置指导

目录

15-ARP攻击防御配置

本章节下载 15-ARP攻击防御配置  (464.10 KB)

docurl=/cn/Service/Document_Software/Document_Center/Wlan/WX/H3C_WX3000/Configure/Operation_Manual/H3C_CG(E3703P61_R2509P61_R3709P61)-6W108/07/201708/1021757_30005_0.htm

15-ARP攻击防御配置

目  录

1 ARP攻击防御

1.1 ARP攻击防御简介

1.2 ARP攻击防御配置任务简介

1.3 配置ARP防止IP报文攻击功能

1.3.1 ARP防止IP报文攻击功能简介

1.3.2 配置ARP防止IP报文攻击功能

1.3.3 ARP防止IP报文攻击显示和维护

1.3.4 ARP防止IP报文攻击配置举例

1.4 配置ARP报文限速功能

1.5 配置源MAC地址固定的ARP攻击检测功能

1.5.1 源MAC地址固定的ARP攻击检测功能简介

1.5.2 配置源MAC地址固定的ARP攻击检测功能

1.5.3 源MAC地址固定的ARP攻击检测显示和维护

1.5.4 源MAC地址固定的ARP攻击检测功能配置举例

1.6 配置ARP报文源MAC地址一致性检查功能

1.6.1 ARP报文源MAC地址一致性检查功能简介

1.6.2 配置ARP报文源MAC地址一致性检查功能

1.7 配置ARP主动确认功能

1.7.1 ARP主动确认功能简介

1.7.2 配置ARP主动确认功能

1.8 配置授权ARP功能

1.8.1 授权ARP功能简介

1.8.2 配置授权ARP功能

1.8.3 授权ARP功能在DHCP服务器上的典型配置举例

1.8.4 授权ARP功能在DHCP中继上的典型配置举例

1.9 配置ARP Detection功能

1.9.1 ARP Detection功能简介

1.9.2 配置ARP Detection功能

1.9.3 ARP Detection显示和维护

1.9.4 用户合法性检查配置举例

1.9.5 用户合法性检查和报文有效性检查配置举例

1.10 配置ARP网关保护功能

1.10.1 ARP网关保护功能简介

1.10.2 配置ARP网关保护功能

1.10.3 ARP网关保护功能配置举例

1.11 配置ARP过滤保护功能

1.11.1 ARP过滤保护功能简介

1.11.2 配置ARP过滤保护功能

1.11.3 ARP过滤保护功能配置举例

 


1 ARP攻击防御

1.1  ARP攻击防御简介

ARP协议有简单、易用的优点,但是也因为其没有任何安全机制而容易被攻击发起者利用。

·     攻击者可以仿冒用户、仿冒网关发送伪造的ARP报文,使网关或主机的ARP表项不正确,从而对网络进行攻击。

·     攻击者通过向设备发送大量目标IP地址不能解析的IP报文,使得设备试图反复地对目标IP地址进行解析,导致CPU负荷过重及网络流量过大。

·     攻击者向设备发送大量ARP报文,对设备的CPU形成冲击。

关于ARP攻击报文的特点以及ARP攻击类型的详细介绍,请参见“ARP攻击防范技术白皮书”。

目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁,为了避免各种攻击带来的危害,设备提供了多种技术对攻击进行防范、检测和解决。

下面将详细介绍一下这些技术的原理以及配置。

1.2  ARP攻击防御配置任务简介

表1-1 ARP攻击防御配置任务简介

配置任务

说明

详细配置

防止泛洪攻击

配置ARP防止IP报文攻击功能

配置ARP源抑制功能

可选

建议在网关设备上配置本功能

1.3 

配置ARP黑洞路由功能

可选

建议在网关设备上配置本功能

配置ARP报文限速功能

可选

建议在接入设备上配置本功能

1.4 

配置源MAC地址固定的ARP攻击检测功能

可选

建议在网关设备上配置本功能

1.5 

防止仿冒用户、仿冒网关攻击

配置ARP报文源MAC地址一致性检查功能

可选

建议在网关设备上配置本功能

1.6 

配置ARP主动确认功能

可选

建议在网关设备上配置本功能

1.7 

配置授权ARP功能

可选

建议在网关设备上配置本功能

1.8 

配置ARP Detection功能

可选

建议在接入设备上配置本功能

1.9 

配置ARP网关保护功能

可选

建议在接入设备上配置本功能

1.10 

配置ARP过滤保护功能

可选

建议在接入设备上配置本功能

1.11 

 

1.3  配置ARP防止IP报文攻击功能

1.3.1  ARP防止IP报文攻击功能简介

如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备,则会造成下面的危害:

·     设备向目的网段发送大量ARP请求报文,加重目的网段的负载。

·     设备会试图反复地对目标IP地址进行解析,增加了CPU的负担。

为避免这种IP报文攻击所带来的危害,设备提供了下列两个功能:

·     如果发送攻击报文的源是固定的,可以采用ARP源抑制功能。开启该功能后,以每5秒为单位时间,当在5秒的单位时间内由某特定主机发出IP报文触发的ARP请求报文的数量超过设置的阈值,那么对这台主机随后发出的所有IP报文,设备不允许其再触发ARP请求,并丢弃这些IP报文。直至这5秒结束后,设备允许这台主机重新触发ARP请求,并重复以上的操作,从而避免了恶意攻击所造成的危害。

·     如果发送攻击报文的源不固定,可以采用ARP黑洞路由功能。开启该功能后,一旦接收到目标IP地址不能解析的IP报文,设备立即产生一个黑洞路由,使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间过后,如有报文触发则再次发起解析,如果解析成功则进行转发,否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击,减轻CPU的负担。

1.3.2  配置ARP防止IP报文攻击功能

1. 配置ARP源抑制功能

表1-2 配置ARP源抑制功能

操作

命令

说明

进入系统视图

system-view

-

使能ARP源抑制功能

arp source-suppression enable

必选

缺省情况下,ARP源抑制功能处于关闭状态

配置ARP源抑制的阈值

arp source-suppression limit limit-value

可选

缺省情况下,ARP源抑制的阈值为10

 

2. 配置ARP黑洞路由功能

说明

 

表1-3 配置ARP黑洞路由功能

操作

命令

说明

进入系统视图

system-view

-

使能ARP黑洞路由功能

arp resolving-route enable

必选

缺省情况下,ARP黑洞路由功能处于开启状态,且ARP黑洞路由的保持时间为25秒

 

1.3.3  ARP防止IP报文攻击显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示配置后ARP源抑制的运行情况,通过查看显示信息验证配置的效果。

表1-4 ARP源抑制显示和维护

操作

命令

显示ARP源抑制的配置信息

display arp source-suppression [ | { begin | exclude | include } regular-expression ]

 

1.3.4  ARP防止IP报文攻击配置举例

1. 组网需求

某局域网内存在两个区域:研发区和办公区,用户分别属于VLAN 10和VLAN 20,通过AP连接到网关AC,如下图所示。

网络管理员在监控网络时发现办公区存在大量ARP请求报文,通过分析认为存在IP泛洪攻击,为避免这种IP报文攻击所带来的危害,可采用ARP源抑制功能和ARP黑洞路由功能。

2. 组网图

图1-1 ARP防止IP报文攻击配置组网图

 

3. 配置思路

对攻击报文进行分析,如果发送攻击报文的源地址是固定的,采用ARP源抑制功能。在AC上做如下配置:

·     使能ARP源抑制功能;

·     配置ARP源抑制的阈值为100,即当每5秒内的ARP请求报文的流量超过100后,对于由此IP地址发出的IP报文,设备不允许其触发ARP请求,直至5秒后再处理。

否则采用ARP黑洞路由功能,在AC上配置ARP黑洞路由功能。

4. 配置步骤

(1)     配置ARP源抑制功能

# 使能ARP源抑制功能,并配置ARP源抑制的阈值为100。

<AC> system-view

[AC] arp source-suppression enable

[AC] arp source-suppression limit 100

(2)     配置ARP黑洞路由功能

# 使能ARP黑洞路由功能。

<AC> system-view

[AC] arp resolving-route enable

1.4  配置ARP报文限速功能

ARP报文限速功能是指对上送CPU的ARP报文进行限速,可以防止大量ARP报文对CPU进行冲击。例如,在配置了ARP Detection功能后,设备会将收到的ARP报文重定向到CPU进行检查,这样引入了新的问题:如果攻击者恶意构造大量ARP报文发往设备,会导致设备的CPU负担过重,从而造成其他功能无法正常运行甚至设备瘫痪,这个时候可以启用ARP报文限速功能来控制上送CPU的ARP报文的速率。

推荐用户在配置了ARP Detection、ARP Snooping、ARP快速应答,或者发现有ARP泛洪攻击的情况下,使用ARP报文限速功能。

表1-5 配置ARP报文限速功能

操作

命令

说明

进入系统视图

system-view

-

进入二层以太网接口/二层聚合接口视图/WLAN-ESS接口

interface interface-type interface-number

-

配置ARP报文限速功能

arp rate-limit { disable | rate pps drop }

必选

缺省情况下,ARP报文限速功能处于关闭状态

 

1.5  配置源MAC地址固定的ARP攻击检测功能

1.5.1  源MAC地址固定的ARP攻击检测功能简介

本特性根据ARP报文的源MAC地址进行统计,在5秒内,如果收到同一源MAC地址的ARP报文超过一定的阈值,则认为存在攻击,系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前,如果设置的检查模式为过滤模式,则会打印Log信息并且将该源MAC地址发送的ARP报文过滤掉;如果设置的模式为监控模式,则只打印Log信息,不会将该源MAC地址发送的ARP报文过滤掉。

对于网关或一些重要的服务器,可能会发送大量ARP报文,为了使这些ARP报文不被过滤掉,可以将这类设备的MAC地址配置成保护MAC地址,这样,即使该MAC地址存在攻击也不会被检测、过滤。

只对上送CPU的ARP报文进行统计。

1.5.2  配置源MAC地址固定的ARP攻击检测功能

表1-6 配置源MAC地址固定的ARP攻击检测功能

配置步骤

命令

说明

进入系统视图

system-view

-

使能源MAC地址固定的ARP攻击检测功能,并选择检查模式

arp anti-attack source-mac { filter | monitor }

必选

缺省情况下,源MAC地址固定的ARP攻击检测功能处于关闭状态

配置源MAC地址固定的ARP报文攻击检测的阈值

arp anti-attack source-mac threshold threshold-value

可选

缺省情况下,源MAC地址固定的ARP报文攻击检测的阈值为50

配置源MAC地址固定的ARP攻击检测表项的老化时间

arp anti-attack source-mac aging-time time

可选

缺省情况下,源MAC地址固定的ARP攻击检测表项的老化时间为300秒,即5分钟

配置保护MAC地址

arp anti-attack source-mac exclude-mac mac-address&<1-10>

可选

缺省情况下,没有配置任何保护MAC地址

 

说明

对于已添加到源MAC地址固定的ARP攻击检测表项中的MAC地址,在等待设置的老化时间后,会重新恢复成普通MAC地址。

 

1.5.3  源MAC地址固定的ARP攻击检测显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示配置后源MAC地址固定的ARP攻击检测的运行情况,通过查看显示信息验证配置的效果。

表1-7 源MAC地址固定的ARP攻击检测显示和维护

操作

命令

显示检测到的源MAC地址固定的ARP攻击检测表项

display arp anti-attack source-mac [ interface interface-type interface-number ] [ | { begin | exclude | include } regular-expression ]

 

1.5.4  源MAC地址固定的ARP攻击检测功能配置举例

1. 组网需求

某局域网内客户端通过网关与外部网络通信,网络环境如下图所示。

网络管理员希望能够防止因恶意用户对网关发送大量ARP报文,造成设备瘫痪,并导致其它用户无法正常地访问外部网络;同时,对于正常的大量ARP报文仍然会进行处理。

2. 组网图

图1-2 源MAC地址固定的ARP攻击检测功能配置组网图

 

3. 配置思路

如果恶意用户向网关发送大量报文的源MAC地址是使用客户端合法的MAC地址,并且源MAC是固定的,可以在网关上进行如下配置:

·     使能源MAC固定ARP攻击检测功能,并选择过滤模式;

·     配置源MAC固定ARP报文攻击检测的阈值;

·     配置源MAC固定的ARP攻击检测表项的老化时间;

·     配置服务器的MAC为保护MAC,使服务器可以发送大量ARP报文。

4. 配置步骤

# 使能源MAC固定ARP攻击检测功能,并选择过滤模式。

<AC> system-view

[AC] arp anti-attack source-mac filter

# 配置源MAC固定ARP报文攻击检测阈值为30个。

[AC] arp anti-attack source-mac threshold 30

# 配置源MAC地址固定的ARP攻击检测表项的老化时间为60秒。

[AC] arp anti-attack source-mac aging-time 60

# 配置源MAC固定攻击检查的保护MAC地址为0012-3f86-e94c。

[AC] arp anti-attack source-mac exclude-mac 0012-3f86-e94c

1.6  配置ARP报文源MAC地址一致性检查功能

1.6.1  ARP报文源MAC地址一致性检查功能简介

ARP报文源MAC地址一致性检查功能主要应用于网关设备上,防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。

配置本特性后,网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同,则认为是攻击报文,将其丢弃;否则,继续进行ARP学习。

1.6.2  配置ARP报文源MAC地址一致性检查功能

表1-8 配置ARP报文源MAC地址一致性检查功能

配置步骤

命令

说明

进入系统视图

system-view

-

使能ARP报文源MAC地址一致性检查功能

arp anti-attack valid-check enable

必选

缺省情况下,ARP报文源MAC地址一致性检查功能处于关闭状态

 

1.7  配置ARP主动确认功能

1.7.1  ARP主动确认功能简介

ARP的主动确认功能主要应用于网关设备上,防止攻击者仿冒用户欺骗网关设备。

启用ARP主动确认功能后,设备在新建或更新ARP表项前需进行主动确认,防止产生错误的ARP表项。关于工作原理的详细介绍请参见“ARP攻击防范技术白皮书”。

1.7.2  配置ARP主动确认功能

表1-9 配置ARP主动确认功能

配置步骤

命令

说明

进入系统视图

system-view

-

使能ARP主动确认功能

arp anti-attack active-ack enable

必选

缺省情况下,ARP主动确认功能处于关闭状态

 

1.8  配置授权ARP功能

说明

·     本特性目前仅支持VLAN接口。

·     关于DHCP服务器的介绍,请参见“三层技术配置指导”中的“DHCP服务器”。

·     关于DHCP中继的介绍,请参见“三层技术配置指导”中的“DHCP中继”。

 

1.8.1  授权ARP功能简介

所谓授权ARP(Authorized ARP),就是根据DHCP服务器生成的租约或者DHCP中继生成的安全表项同步生成ARP表项。

使能接口的授权ARP功能后,系统会禁止该接口学习动态ARP表项,可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击,保证只有合法的用户才能使用网络资源,增加了网络的安全性。

说明

静态ARP表项可以覆盖授权ARP表项,授权ARP表项可以覆盖动态ARP表项,但是授权ARP表项不能覆盖静态ARP表项,动态ARP表项不能覆盖授权ARP表项。

 

1.8.2  配置授权ARP功能

表1-10 配置授权ARP功能

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置DHCP服务器(DHCP中继)支持授权ARP功能

dhcp update arp

必选

缺省情况下,DHCP服务器(DHCP中继)不支持授权ARP功能

使能授权ARP功能

arp authorized enable

必选

缺省情况下,接口下没有使能授权ARP功能

 

说明

如果DHCP服务器(DHCP中继)不支持授权ARP功能,当配置了arp authorized enable命令后,只是会禁止该接口学习动态ARP表项,不会同步生成授权ARP表项。

 

1.8.3  授权ARP功能在DHCP服务器上的典型配置举例

1. 组网需求

·     AC是DHCP服务器,为同一网段中的客户端动态分配IP地址,地址池网段为10.1.1.0/24。通过在AC接口上启用授权ARP功能来保证客户端的合法性。

·     Client是DHCP客户端,通过DHCP协议从DHCP服务器获取IP地址。

2. 组网图

图1-3 授权ARP功能典型配置组网图

 

3. 配置步骤

# 配置无线用户通过WLAN-ESS1口连接到AC,用户所在的VLAN为VLAN 10。(配置略)

# 使能DHCP服务

<AC> system-view

[AC] dhcp enable

[AC] dhcp server ip-pool 10

[AC-dhcp-pool-10] network 10.1.1.0 mask 255.255.255.0

[AC-dhcp-pool-10] gateway-list 10.1.1.1

[AC-dhcp-pool-10] quit

# 设置Vlan-interface10接口IP地址为10.1.1.1/24

[AC] interface vlan-interface 10

[AC-Vlan-interface10] ip address 10.1.1.1 255.255.255.0

# 配置授权ARP

[AC-Vlan-interface10] dhcp update arp

[AC-Vlan-interface10] arp authorized enable

[AC-Vlan-interface10] quit

# 用户通过DHCP申请地址后,授权ARP会根据租约生成相应的授权ARP

[AC] display arp

                Type: S-Static    D-Dynamic    A-Authorized

IP Address       MAC Address     VLAN ID  Interface              Aging Type

10.1.1.2         0000-8279-aa02  10       WLAN-DBSS1:52          N/A    A

从以上信息可以获知ACClient动态分配的IP地址为10.1.1.2。

此后ClientAC通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致,否则将无法通信,保证了客户端的合法性。

1.8.4  授权ARP功能在DHCP中继上的典型配置举例

1. 组网需求

·     Switch充当DHCP服务器为客户端动态分配IP地址,地址池网段为10.1.1.0/24。

·     AC是DHCP中继,通过在接口上启用授权ARP功能来保证客户端的合法性。

·     Client是DHCP客户端,通过DHCP中继从DHCP服务器获取IP地址。

2. 组网图

图1-4 授权ARP功能典型配置组网图

 

3. 配置步骤

(1)     配置DHCP服务器Switch

<Switch> system-view

[Switch] dhcp enable

[Switch] dhcp server ip-pool 10

[Switch-dhcp-pool-10] network 10.1.1.0 mask 255.255.255.0

[Switch-dhcp-pool-10] gateway-list 10.1.1.1

[Switch] interface vlan-interface 20

[Switch-Vlan-interface20] ip address 10.2.1.2 255.255.255.0

[Switch-Vlan-interface20] quit

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type hybrid

[Switch-GigabitEthernet1/0/1] port hybrid vlan 20 tagged

(2)     配置AC

# 配置无线用户通过WLAN-ESS1口连接到AC,用户所在的VLAN为VLAN 10。(配置略)

# 使能DHCP服务

<AC> system-view

[AC] dhcp enable

# 配置DHCP服务器的地址

[AC] dhcp relay server-group 1 ip 10.2.1.2

# 配置接口的IP地址

[AC] interface vlan-interface 10

[AC-Vlan-interface10] ip address 10.1.1.1 255.255.255.0

[AC-Vlan-interface10] quit

[AC] interface vlan-interface 20

[AC-Vlan-interface20] ip address 10.2.1.1 255.255.255.0

[AC-Vlan-interface20] quit

# 配置Vlan-interface10接口工作在DHCP中继模式

[AC] interface vlan-interface 10

[AC-Vlan-interface10] dhcp select relay

# 配置Vlan-interface10接口对应DHCP服务器组1

[AC-Vlan-interface10] dhcp relay server-select 1

# 配置授权ARP

[AC-Vlan-interface10] dhcp update arp

[AC-Vlan-interface10] arp authorized enable

[AC-Vlan-interface10] quit

# 用户通过DHCP申请地址后,授权ARP会根据租约生成相应的授权ARP

[AC] display arp

                Type: S-Static    D-Dynamic    A-Authorized

IP Address     MAC Address     VLAN ID  Interface              Aging Type

10.1.1.2       0000-8279-aa02  10       WLAN-DBSS1:52          N/A    A

从以上信息可以获知ACClient动态分配的IP地址为10.1.1.2。

此后ClientAC通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致,否则将无法通信,保证了客户端的合法性。

1.9  配置ARP Detection功能

1.9.1  ARP Detection功能简介

ARP Detection功能主要应用于接入设备上,对于合法用户的ARP报文进行正常转发,否则直接丢弃,从而防止仿冒用户、仿冒网关的攻击。

ARP Detection包含三个功能:用户合法性检查、ARP报文有效性检查、ARP报文强制转发。

1. 用户合法性检查

对于ARP信任端口,不进行用户合法性检查;对于ARP非信任端口,需要进行用户合法性检查,以防止仿冒用户的攻击。

用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在端口上的合法用户,包括基于用户合法性规则的检查、基于DHCP Snooping安全表项的检查和基于802.1X安全表项的检查。

(1)     首先进行基于用户合法性规则的检查。如果在配置的规则中找到与报文匹配的规则,则按照规则对ARP报文进行处理。如果在用户合法性规则中没有找到与报文匹配的规则,则继续进行基于DHCP Snooping安全表项的检查和基于802.1X安全表项的检查。

(2)     在基于用户合法性规则的检查之后,如果未匹配,则进行基于DHCP Snooping安全表项和802.1X安全表项,只要符合两者中任何一个,就认为该ARP报文合法,进行转发。

(3)     如果所有检查都没有找到匹配的表项,则认为是非法报文,直接丢弃。

说明

·     DHCP Snooping安全表项通过DHCP Snooping功能自动生成,详细介绍请参见“三层技术配置指导”中的“DHCP Snooping”。

·     802.1X安全表项通过802.1X功能产生,用户通过了802.1X认证并且将IP地址上传至使能ARP Detection的设备后,设备自动生成可用于ARP Detection的用户合法性检查的802.1X安全表项。802.1X的详细介绍请参见“安全配置指导”中的“802.1X”。

 

2. ARP报文有效性检查

对于ARP信任端口,不进行报文有效性检查;对于ARP非信任端口,需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

·     对于源MAC地址的检查模式,会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致,一致则认为有效,否则丢弃报文;

·     对于目的MAC地址的检查模式(只针对ARP应答报文),会检查ARP应答报文中的目的MAC地址是否为全0或者全1,是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的,无效的报文需要被丢弃;

·     对于IP地址检查模式,会检查ARP报文中的源IP和目的IP地址,全0、全1、或者组播IP地址都是不合法的,需要丢弃。对于ARP应答报文,源IP和目的IP地址都进行检查;对于ARP请求报文,只检查源IP地址。

3. ARP报文强制转发

对于从ARP信任端口接收到的ARP报文不受此功能影响,按照正常流程进行转发;对于从ARP非信任端口接收到的、已经通过用户合法性检查的ARP报文的处理过程如下:

·     对于ARP请求报文,通过信任端口进行转发;

·     对于ARP应答报文,首先按照报文中的以太网目的MAC地址进行转发,若在MAC地址表中没有查到目的MAC地址对应的表项,则将此ARP应答报文通过信任端口进行转发。

1.9.2  配置ARP Detection功能

说明

 

1. 配置用户合法性检查功能

表1-11 配置用户合法性检查功能

操作

命令

说明

进入系统视图

system-view

-

配置用户合法性检查规则

arp detection id-number { deny | permit } ip { any | ip-address [ ip-address-mask ] } mac { any | mac-address [ mac-address-mask ] } [ vlan vlan-id ]

可选

缺省情况下,没有配置用户合法性检查规则

进入VLAN视图

vlan vlan-id

-

使能ARP Detection功能

arp detection enable

必选

缺省情况下,ARP Detection功能处于关闭状态。即不进行用户合法性检查

退回系统视图

quit

-

进入二层以太网接口或者二层聚合接口视图/WLAN-ESS接口

interface interface-type interface-number

-

将不需要进行用户合法性检查的端口配置为ARP信任端口

arp detection trust

可选

缺省情况下,端口为ARP非信任端口

 

说明

配置用户合法性检查功能时,必须至少配置用户合法性检查规则、DHCP Snooping功能、802.1X功能三者之一,否则所有从ARP非信任端口收到的ARP报文都将被丢弃。

 

2. 配置ARP报文有效性检查功能

表1-12 配置ARP报文有效性检查功能

操作

命令

说明

进入系统视图

system-view

-

进入VLAN视图

vlan vlan-id

-

使能ARP Detection功能

arp detection enable

必选

缺省情况下,ARP Detection功能处于关闭状态

退回系统视图

quit

-

使能ARP报文有效性检查功能

arp detection validate { dst-mac | ip | src-mac } *

必选

缺省情况下,ARP报文有效性检查功能处于关闭状态

进入二层以太网接口或者二层聚合接口视图/WLAN-ESS接口

interface interface-type interface-number

-

将不需要进行ARP报文有效性检查的端口配置为ARP信任端口

arp detection trust

可选

缺省情况下,端口为ARP非信任端口

 

3. 配置ARP报文强制转发功能

进行下面的配置之前,需要保证已经配置了用户合法性检查功能。

表1-13 配置ARP报文强制转发功能

操作

命令

说明

进入系统视图

system-view

-

进入VLAN视图

vlan vlan-id

-

使能ARP报文强制转发功能

arp restricted-forwarding enable

必选

缺省情况下,ARP报文强制转发功能处于关闭状态

 

1.9.3  ARP Detection显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示配置后ARP Detection的运行情况,通过查看显示信息验证配置的效果。

在用户视图下,用户可以执行reset命令清除ARP Detection的统计信息。

表1-14 ARP Detection显示和维护

操作

命令

显示使能了ARP Detection功能的VLAN

display arp detection [ | { begin | exclude | include } regular-expression ]

显示ARP Detection功能报文检查的丢弃计数的统计信息

display arp detection statistics [ interface interface-type interface-number ] [ | { begin | exclude | include } regular-expression ]

清除ARP Detection的统计信息

reset arp detection statistics [ interface interface-type interface-number ]

 

1.9.4  用户合法性检查配置举例

1. 组网需求

·     Switch是DHCP服务器,连接着AC,在VLAN 10内启用ARP Detection功能,对认证客户端进行保护,保证合法用户可以正常转发报文,否则丢弃。

·     Client 1和Client 2是本地802.1X接入用户,并且都在VLAN 10中。

2. 组网图

图1-5 配置用户合法性检查组网图

 

3. 配置步骤

(1)     配置组网图中Switch及AC之间的端口属于VLAN 10及Switch 对应VLAN接口的IP地址(略)

(2)     配置DHCP服务器Switch

# 配置DHCP地址池0。

<Switch> system-view

[Switch] dhcp enable

[Switch] dhcp server ip-pool 0

[Switch-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0

(3)     配置客户端Client 1和Client 2(略),必须使用上传IP地址方式。

(4)     RADIUS服务器的配置(略)。

(5)     配置AC

# 创建RADIUS方案rad。

[AC] radius scheme rad

# 配置主认证RADIUS服务器的IP地址8.1.1.16。

[AC-radius-rad] primary authentication 8.1.1.16

# 配置主计费RADIUS服务器的IP地址8.1.1.16。

[AC-radius-rad] primary accounting 8.1.1.16

# 配置与认证RADIUS服务器交互报文时的共享密钥为expert。

[AC-radius-rad] key authentication expert

# 配置与计费RADIUS服务器交互报文时的共享密钥为expert。

[AC-radius-rad] key accounting expert

# 配置RADIUS服务器的服务类型为extended。

[AC-radius-rad] server-type extended

# 配置向RADIUS服务器发送的用户名不携带域名。

[AC-radius-rad] user-name-format without-domain

[AC-radius-rad] quit

# 创建ISP域imc。

[AC] domain imc

# 为lan-access用户配置AAA认证方法为RADIUS认证、授权和计费。

[AC-isp-imc] authentication lan-access radius-scheme rad

[AC-isp-imc] authorization lan-access radius-scheme rad

[AC-isp-imc] accounting lan-access radius-scheme rad

[AC-isp-imc] quit

# 配置缺省的ISP域为imc。

[AC] domain default enable imc

# 使能端口安全。

[AC] port-security enable

# 配置802.1X用户的认证方式为EAP中继方式。

[AC] dot1x authentication-method eap

# 配置AC的无线启用dot1x认证。

<AC> system-view

[AC] interface wlan-ess 0

[AC-WLAN-ESS0] port access vlan 10

[AC-WLAN-ESS0] port-security port-mode userlogin-secure-ext

[AC-WLAN-ESS0] port-security tx-key-type 11key

[AC-WLAN-ESS0] undo dot1x multicast-trigger

[AC-WLAN-ESS0] undo dot1x handshake

[AC-WLAN-ESS0] quit

# 配置WLAN服务模板,配置SSIDdot1x,并将WLAN-ESS接口与该服务模板绑定。

[AC] wlan service-template 1 crypto

[AC-wlan-st-1] ssid dot1x

[AC-wlan-st-1] bind wlan-ess 0

# 配置无线客户端接入该无线服务的认证方式为开放式系统认证,使能TKIP加密套件,配置在AP发送信标和探查响应帧时携带WPA IE信息。

[AC-wlan-st-1] authentication-method open-system

[AC-wlan-st-1] cipher-suite tkip

[AC-wlan-st-1] security-ie wpa

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

# 创建AP模板,名称为2100,型号名称选择WA3628i-AGN,序列号为210235A29G007C000020。

[AC] wlan ap 2100 model WA3628i-AGN

[AC-wlan-ap-2100] serial-id 210235A29G007C000020

# 将服务模板和绑定到Radio口,并启用该射频。

[AC-wlan-ap-2100] radio 1

[AC-wlan-ap-2100-radio-1] service-template 1

[AC-wlan-ap-2100-radio-1] radio enable

# AC与AP之间的端口默认属于VLAN 1,配置AC及AP VLAN1的三层接口地址(略)。

# 使能ARP Detection功能,对用户合法性进行检查。

[AC] vlan 10

[AC-vlan10] arp detection enable

# 端口状态缺省为非信任状态,上行端口配置为信任状态,下行WLAN-ESS端口按缺省配置。

[AC-vlan10] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] arp detection trust

[AC-GigabitEthernet1/0/1] quit

完成上述配置后,对于无线口收到的ARP报文,需基于802.1X安全表项进行用户合法性检查。

1.9.5  用户合法性检查和报文有效性检查配置举例

1. 组网需求

·     Switch是DHCP服务器;

·     无线客户端Client 1是DHCP客户端;无线客户端Client 2的IP地址是10.1.1.6,MAC地址是0001-0203-0607。

·     AC是DHCP Snooping设备,在VLAN 10内启用ARP Detection功能,对DHCP客户端和用户进行保护,保证合法用户可以正常转发报文,否则丢弃。

2. 组网图

图1-6 配置用户合法性检查和报文有效性检查组网图

 

3. 配置步骤

(1)     配置组网图中Switch和AC之间的端口属于VLAN 10及Switch对应VLAN接口的IP地址(略)

(2)     配置DHCP服务器Switch

# 配置DHCP地址池0。

<Switch> system-view

[Switch] dhcp enable

[Switch] dhcp server ip-pool 0

[Switch-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0

(3)     配置DHCP客户端Client 1和用户Client 2(略)

(4)     配置AC

# 创建WLAN ESS接口并将WLAN ESS接口加入VLAN10。

<AC> system-view

[AC] interface wlan-ess 0

[AC-WLAN-ESS0] port access vlan 10

[AC-WLAN-ESS0] quit

# 配置WLAN服务模板(明文模板),配置SSIDtest,并将WLAN-ESS接口与该服务模板绑定。

[AC] wlan service-template 1 clear

[AC-wlan-st-1] ssid test

[AC-wlan-st-1] bind wlan-ess 0

[AC-wlan-st-1] service-template enable

# 创建AP模板,名称为2100,型号名称选择WA3628i-AGN,序列号为210235A29G007C000020。

[AC] wlan ap 2100 model WA3628i-AGN

[AC-wlan-ap-2100] serial-id 210235A29G007C000020

# 将服务模板和绑定到Radio口,并启用该射频。

[AC-wlan-ap-2100] radio 1

[AC-wlan-ap-2100-radio-1] service-template 1

[AC-wlan-ap-2100-radio-1] radio enable

# AC与AP之间的端口默认属于VLAN 1,配置AC及AP VLAN 1的三层接口地址(略)。

# 配置DHCP Snooping功能。

<AC> system-view

[AC] dhcp-snooping

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] dhcp-snooping trust

[AC-GigabitEthernet1/0/1] quit

# 使能ARP Detection功能,对用户合法性进行检查。

[AC] vlan 10

[AC-vlan10] arp detection enable

# 端口状态缺省为非信任状态,上行端口配置为信任状态,下行端口按缺省配置。

[AC-vlan10] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] arp detection trust

[AC-GigabitEthernet1/0/1] quit

# 配置进行报文有效性检查。

[AC] arp detection validate dst-mac ip src-mac

完成上述配置后,对于无线端口收到的ARP报文,先进行报文有效性检查,然后基于DHCP Snooping安全表项进行用户合法性检查。

1.10  配置ARP网关保护功能

1.10.1  ARP网关保护功能简介

在设备上不与网关相连的端口上配置此功能,可以防止伪造网关攻击。

在端口配置此功能后,当端口收到ARP报文时,将检查ARP报文的源IP地址是否和配置的被保护网关的IP地址相同。如果相同,则认为此报文非法,将其丢弃;否则,认为此报文合法,继续进行后续处理。

1.10.2  配置ARP网关保护功能

表1-15 配置ARP网关保护功能

操作

命令

说明

进入系统视图

system-view

-

进入二层以太网接口视图/WLAN-ESS接口

interface interface-type interface-number

-

开启ARP网关保护功能,配置被保护的网关IP地址

arp filter source ip-address

必选

缺省情况下,ARP网关保护功能处于关闭状态

 

说明

·     每个端口最多支持配置8个被保护的网关IP地址。

·     不能在同一端口下同时配置命令arp filter sourcearp filter binding

·     本功能与ARP Detection、ARP Snooping和ARP快速应答功能配合使用时,先进行本功能检查,本功能检查通过后才会进行其他配合功能的处理。

 

1.10.3  ARP网关保护功能配置举例

1. 组网需求

与AC相连的无线客户端Client 2进行了仿造网关Switch(IP地址为10.1.1.1)的ARP攻击,导致与AC相连的设备与网关Switch通信时错误发往了Client 2。

要求:通过配置防止这种仿造网关攻击。

2. 组网图

图1-7 配置ARP网关保护功能组网图

 

3. 配置步骤

# 配置无线用户通过WLAN-ESS0口连接到AC(配置略)。

# 在AC上配置ARP网关保护功能。

<AC> system-view

[AC] interface wlan-ess 0

[AC-WLAN-ESS0] arp filter source 10.1.1.1

[AC-WLAN-ESS0] quit

完成上述配置后,对于Client 2发送的伪造的源IP地址为网关IP地址的ARP报文将会被丢弃,不会再被转发。

1.11  配置ARP过滤保护功能

1.11.1  ARP过滤保护功能简介

本功能用来限制端口下允许通过的ARP报文,可以防止仿冒网关和仿冒用户的攻击。

在端口配置此功能后,当端口收到ARP报文时,将检查ARP报文的源IP地址和源MAC地址是否和允许通过的IP地址和MAC地址相同:

·     如果相同,则认为此报文合法,继续进行后续处理;

·     如果不相同,则认为此报文非法,将其丢弃。

1.11.2  配置ARP过滤保护功能

表1-16 配置ARP过滤保护功能

操作

命令

说明

进入系统视图

system-view

-

进入二层以太网接口视图/WLAN-ESS接口

interface interface-type interface-number

-

开启ARP过滤保护功能,配置允许通过的ARP报文的源IP地址和源MAC地址

arp filter binding ip-address mac-address

必选

缺省情况下,ARP过滤保护功能处于关闭状态

 

说明

·     每个端口最多支持配置8组允许通过的ARP报文的源IP地址和源MAC地址。

·     不能在同一端口下同时配置命令arp filter sourcearp filter binding

·     本功能与ARP Detection、ARP Snooping和ARP快速应答功能配合使用时,先进行本功能检查,本功能检查通过后才会进行其他配合功能的处理。

 

1.11.3  ARP过滤保护功能配置举例

1. 组网需求

·     无线客户端Client 1的IP地址为10.1.1.2,MAC地址为000f-e349-1233。

·     无线客户端Client 2的IP地址为10.1.1.3,MAC地址为000f-e349-1234。

·     限制AC的无线端口只允许指定用户接入,不允许其他用户接入。

2. 组网图

图1-8 配置ARP过滤保护功能组网图

 

3. 配置步骤

# 配置无线服务及AP,无线口为WLAN-ESS0(配置略)。

# 配置AC的ARP过滤保护功能。

<AC> system-view

[AC] interface wlan-ess 0

[AC-WLAN-ESS0] arp filter binding 10.1.1.2 000f-e349-1233

[AC-WLAN-ESS0] arp filter binding 10.1.1.3 000f-e349-1234

完成上述配置后,无线端口收到Client 1发出的源IP地址为10.1.1.2、源MAC地址为000f-e349-1233的ARP报文将被允许通过,其他ARP报文将被丢弃;收到Client 2发出的源IP地址为10.1.1.3、源MAC地址为000f-e349-1234的ARP报文将被允许通过,其他ARP报文将被丢弃。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们