目  录

第1章 ARP配置

1.1 ARP简介

1.1.1 ARP作用

1.1.2 ARP报文结构

1.1.3 ARP地址解析过程

1.1.4 ARP表

1.2 配置ARP

1.2.1 手工添加静态ARP表项

1.2.2 配置VLAN接口学习动态ARP表项的最大数目

1.2.3 配置动态ARP表项的老化时间

1.2.4 使能支持自然网段的ARP请求

1.2.5 ARP配置举例

1.3 配置免费ARP

1.3.1 免费ARP简介

1.3.2 配置免费ARP

1.4 配置ARP源抑制功能

1.4.1 ARP源抑制功能简介

1.4.2 配置ARP源抑制

1.5 配置ARP防IP报文攻击功能

1.5.1 ARP防IP报文攻击功能介绍

1.5.2 启用ARP防IP报文攻击功能

1.6 ARP显示和维护

第2章 代理ARP配置

2.1 代理ARP简介

2.2 配置代理ARP功能

2.3 代理ARP显示和维护

2.4 代理ARP典型配置举例

2.4.1 代理ARP配置举例

2.4.2 端口隔离时的本地代理ARP配置举例

2.4.3 Isolate-user-vlan中的本地代理ARP配置举例

第1章  ARP配置

1.1  ARP简介

1.1.1  ARP作用

ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为数据链路层地址的协议。

IP地址只是主机在网络层中的地址，如果要将网络层中数据包传送给目的主机，必须知道目的主机的数据链路层地址（比如以太网络MAC地址）。因此必须将IP地址解析为数据链路层地址。

1.1.2  ARP报文结构

图1-1 ARP报文结构

l              硬件类型：表示硬件地址的类型。它的值为1表示以太网地址；

l              协议类型：表示要映射的协议地址类型。它的值为0x0800即表示IP地址；

l              硬件地址长度和协议地址长度分别指出硬件地址和协议地址的长度，以字节为单位。对于以太网上IP地址的ARP请求或应答来说，它们的值分别为6和4；

l              操作类型（OP）：1表示ARP请求，2表示ARP应答；

l              发送端MAC地址：发送方设备的硬件地址；

l              发送端IP地址：发送方设备的IP地址；

l              目标MAC地址：接收方设备的硬件地址。

l              目标IP地址：接收方设备的IP地址。

1.1.3  ARP地址解析过程

假设主机A和B在同一个网段，主机A要向主机B发送信息。如图1-2所示，具体的地址解析过程如下：

(1)        主机A首先查看自己的ARP表，确定其中是否包含有主机B对应的ARP表项。如果找到了对应的MAC地址，则主机A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给主机B。

(2)        如果主机A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为主机A的IP地址和MAC地址，目标IP地址和目标MAC地址为主机B的IP地址和全0的MAC地址。由于ARP请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请求的主机（即主机B）会对该请求进行处理。

(3)        主机B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端（即主机A）的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A，其中包含了自己的MAC地址。

(4)        主机A收到ARP响应报文后，将主机B的MAC地址加入到自己的ARP表中以用于后续报文的转发，同时将IP数据包进行封装后发送出去。

图1-2 ARP地址解析过程

当主机A和主机B不在同一网段时，主机A就会先向网关发出ARP请求，ARP请求报文中的目标IP地址为网关的IP地址。当主机A从收到的响应报文中获得网关的MAC地址后，将报文封装并发给网关。之后网关会广播ARP请求，目标IP地址为主机B的IP地址。当网关从收到的响应报文中获得主机B的MAC地址后，就可以将报文发给主机B。

1.1.4  ARP表

设备通过ARP解析到目的MAC地址后，将会在自己的ARP表中增加IP地址到MAC地址的映射表项，以用于后续到同一目的地报文的转发。

ARP表项分为动态ARP表项和静态ARP表项。

(1)        动态ARP表项由ARP协议通过ARP报文自动生成和维护，可以被老化，可以被新的ARP报文更新，可以被静态ARP表项覆盖。当到达老化时间、端口down时会删除相应的动态ARP表项。

(2)        静态ARP表项通过手工配置和维护，不会被老化，不会被动态ARP表项覆盖。静态ARP表项分为短静态ARP表项和长静态ARP表项。

l              在配置长静态ARP表项时，除了配置IP地址和MAC地址项外，还必须配置该ARP表项所在VLAN和出端口。长静态ARP表项可以直接用于报文转发。

l              在配置短静态ARP表项时，只需要配置IP地址和MAC地址项。短静态ARP表项不能直接用于报文转发。当要发送IP数据包时，先发送ARP请求报文，如果收到的响应报文中的源IP地址和源MAC地址与所配置的IP地址和MAC地址相同，则将接收ARP响应报文的端口加入该静态ARP表项中，之后就可以用于IP数据包的转发。

1.2  配置ARP

1.2.1  手工添加静态ARP表项

静态ARP表项在设备正常工作时间一直有效，当设备的ARP表项所对应的VLAN或VLAN接口被删除时，如果是长静态ARP表项则被删除，如果是已经解析的短静态ARP表项则重新变为未解析状态。

表1-1 手工添加静态ARP表项

1.2.2  配置VLAN接口学习动态ARP表项的最大数目

表1-2 配置VLAN接口学习动态ARP表项的最大数目

1.2.3  配置动态ARP表项的老化时间

动态ARP表项在到达老化时间后，会从ARP表中删除。用户可以根据网络实际情况调整老化时间。

表1-3 配置动态ARP的老化时间

1.2.4  使能支持自然网段的ARP请求

使能了支持自然网段的ARP请求功能后，交换机学习ARP表项时，在发现ARP报文的源IP地址和入接口IP地址不在同一网段后，使用自然网段进行判断。

假设Vlan-interface10接口的IP地址为10.10.10.5/24，收到一个源IP地址为10.11.11.1/8的ARP报文，由于两个IP地址不在同一网段，Vlan-interface10接口无法处理这个报文。如果使能支持自然网段的ARP请求功能，则通过自然网段进行判断，由于Vlan-interface10接口的IP地址为A类地址，因此默认掩码应该为8位，于是两个IP地址就在同一个网段，Vlan-interface10接口就可以学习源IP地址为10.11.11.1的ARP表项了。

表1-4 使能支持自然网段的ARP请求

1.2.5  ARP配置举例

1. 组网需求

l              设置设备的动态ARP表项的老化时间为10分钟。

l              设置设备使能自然网段范围内的ARP请求。

l              设置接口Vlan-interface10上可以学习ARP的最大个数为1000。

l              增加一个静态ARP表项，IP地址为192.168.1.1/24，对应的MAC地址为000f-e201-0000，此条ARP表项对应的出端口为属于VLAN 10的端口GigabitEthernet2/0/10。

2. 配置步骤

<Sysname> system-view

[Sysname] arp timer aging 10

[Sysname] naturemask-arp enable

[Sysname] vlan 10

[Sysname-vlan10] port gigabitethernet 2/0/10

[Sysname-vlan10] quit

[Sysname] interface vlan-interface 10

[Sysname-vlan-interface10] arp max-learning-num 1000

[Sysname-vlan-interface10] quit

[Sysname] arp static 192.168.1.1 000f-e201-0000 10 gigabitethernet2/0/10

1.3  配置免费ARP

1.3.1  免费ARP简介

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送者IP地址和目标IP地址都是本机IP地址，发送者MAC地址是本机MAC地址，目标MAC地址是广播地址。

设备通过对外发送免费ARP报文，实现以下功能：

l              确定其它设备的IP地址是否与本机IP地址冲突。

l              设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。

设备通过学习免费ARP报文，实现以下功能：

对于收到的免费ARP报文，如果ARP表中没有与此报文对应的ARP表项，就将免费ARP报文中携带的信息添加到本地动态ARP映射表中。

1.3.2  配置免费ARP

表1-5 配置免费ARP

1.4  配置ARP源抑制功能

1.4.1  ARP源抑制功能简介

如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：

l              设备向目的网段产生大量ARP请求报文，加重目的网段的负载。

l              设备会不断解析目标IP地址，增加了CPU的负担。

为避免这种攻击所带来的危害，设备提供了ARP源抑制功能。当开启该功能后，如果网络中某主机向设备某端口连续发送目标IP地址不能解析的IP报文，当每5秒内的流量超过设置的阈值，系统就会丢弃由此端口进入的与发送者IP地址相同的报文，直至5秒后再处理，从而避免了恶意攻击所造成的危害。

1.4.2  配置ARP源抑制

表1-6 配置ARP源抑制

1.5  配置ARP防IP报文攻击功能

1.5.1  ARP防IP报文攻击功能介绍

在进行IP报文转发过程中，设备需要依靠ARP解析下一跳IP地址的MAC地址。如果地址解析成功，报文可以直接通过硬件转发芯片直接转发出去，而不需要再由软件处理；如果地址解析不成功，需要由软件进行解析处理。这样，如果接收到大量下一跳IP地址循环变化并且该IP地址不可达的IP报文，由于下一跳IP地址解析不成功，软件会试图反复地对下一跳IP地址进行探测，导致CPU负荷过重，就造成了IP报文对设备的攻击。

用户可以通过配置ARP防IP报文攻击功能来预防这种可能存在的攻击情况。在防IP报文攻击功能启用后，一旦接收到下一跳地址不可达的IP报文（即ARP解析失败的IP报文），设备立即产生一个黑洞路由，使硬件转发芯片在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间过后，如有报文触发则再次发起解析，如果解析成功则由硬件进行转发，否则仍然下发黑洞路由。这种方式能够有效的防止IP报文的攻击，减轻CPU的负担。

1.5.2  启用ARP防IP报文攻击功能

启用ARP防IP报文攻击功能对转发报文和本地产生的报文均有效。

表1-7 启用ARP防IP报文攻击功能

1.6  ARP显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令清除ARP表项。

表1-8 ARP显示和维护

第2章  代理ARP配置

2.1  代理ARP简介

如果ARP请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理ARP功能的设备就可以回答该请求，这个过程称作代理ARP(Proxy ARP)。

代理ARP分为代理ARP和本地代理ARP。

同一网段内连接到设备的不同VLAN接口的主机可以利用设备的代理ARP功能，通过三层转发实现互通。

为了实现三层互通，在下面两种情况之一需要开启本地代理ARP功能。

l              连接到交换机同一个VLAN，相互隔离的端口下的设备要实现三层互通；

l              交换机下挂的设备使能Isolate-user-vlan功能后，属于不同Secondary VLAN下的设备要实现三层互通。

2.2  配置代理ARP功能

表2-1 配置代理ARP功能

2.3  代理ARP显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后代理ARP的运行情况，查看显示信息验证配置的效果。

表2-2 代理ARP显示和维护

2.4  代理ARP典型配置举例

2.4.1  代理ARP配置举例

1. 组网需求

将Host A和Host D配置为同一网段的主机，只是从设备上看属于不同的子网。其中Host A属于VLAN 1，Host D属于VLAN 2。通过在设备上启用代理ARP功能来实现Host A和Host D的通信。

2. 组网图

图2-1 配置代理ARP组网图

3. 配置步骤

# 配置代理ARP，实现Host A和Host D之间的通信。

<Switch> system-view

[Switch] vlan 2

[Switch-vlan2] quit

[Switch] interface vlan-interface 1

[Switch-Vlan-interface1] ip address 192.168.10.99 255.255.255.0

[Switch-Vlan-interface1] proxy-arp enable

[Switch-Vlan-interface1] quit

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.20.99 255.255.255.0

[Switch-Vlan-interface2] proxy-arp enable

[Switch-Vlan-interface2] quit

2.4.2  端口隔离时的本地代理ARP配置举例

1. 组网需求

l              Host A和Host B属于同一个VLAN，分别与SwitchB的端口GigabitEthernet2/0/2和GigabitEthernet2/0/3相连；

l              SwitchB通过端口GigabitEthernet2/0/1与SwitchA相连；

l              实现被隔离的端口GigabitEthernet2/0/2和GigabitEthernet2/0/3能够三层互通。

2. 组网图

图2-2 配置端口隔离时的本地代理ARP组网图

3. 配置步骤

(1)        配置SwitchB

# 在SwitchB上创建VLAN 2，端口GigabitEthernet2/0/1、GigabitEthernet2/0/2、GigabitEthernet2/0/3属于VLAN 2；Host A和Host B彼此之间二层报文不能互通。

<SwitchB> system-view

[SwitchB] vlan 2

[SwitchB-vlan2] port gigabitethernet 2/0/1

[SwitchB-vlan2] port gigabitethernet 2/0/2

[SwitchB-vlan2] port gigabitethernet 2/0/3

[SwitchB-vlan2] quit

[SwitchB] interface gigabitethernet 2/0/2

[SwitchB-GigabitEthernet2/0/2] port-isolate enable

[SwitchB-GigabitEthernet2/0/2] quit

[SwitchB] interface gigabitethernet 2/0/3

[SwitchB-GigabitEthernet2/0/3] port-isolate enable

[SwitchB-GigabitEthernet2/0/3] quit

(2)        配置SwitchA

# 配置VLAN接口2的IP地址

[SwitchA] vlan 2

[SwitchA-vlan2] port gigabitethernet 2/0/2

[SwitchA-vlan2] quit

[SwitchA] interface vlan-interface 2

[SwitchA-Vlan-interface2] ip address 192.168.10.100 255.255.0.0

从Host A上ping不通Host B，表明Host A和Host B二层隔离。

# 配置本地代理ARP，实现Host A和Host B之间的三层互通。

[SwitchA-Vlan-interface2] local-proxy-arp enable

[SwitchA-Vlan-interface2] quit

从Host A上可以ping通Host B，表明Host A和Host B三层互通了。

2.4.3  Isolate-user-vlan中的本地代理ARP配置举例

1. 组网需求

l              SwitchA通过端口GigabitEthernet2/0/1与SwitchB相连。

l              SwitchB上的VLAN 5为Isolate-user-vlan，包含上行端口GigabitEthernet2/0/1和两个Secondary VLAN（VLAN 2和VLAN 3），VLAN 2包含端口GigabitEthernet2/0/2，VLAN 3包含端口GigabitEthernet2/0/3。

l              在SwitchA上启用本地代理ARP功能，实现VLAN 2和VLAN 3之间的三层互通。

2. 组网图

图2-3 配置Isolate-user-vlan中的本地代理ARP组网图

3. 配置步骤

(1)        配置设备SwitchB

# 在SwitchB上创建VLAN 2、VLAN 3和VLAN 5；添加端口GigabitEthernet2/0/2到VLAN 2，端口GigabitEthernet2/0/3到VLAN 3，端口GigabitEthernet2/0/1到VLAN 5；配置VLAN 5为Isolate-user-vlan，VLAN 2和VLAN 3为Secondary VLAN；配置Isolate-user-vlan和Secondary VLAN间的映射关系。

<SwitchB> system-view

[SwitchB] vlan 2

[SwitchB-vlan2] port gigabitethernet 2/0/2

[SwitchB-vlan2] quit

[SwitchB] vlan 3

[SwitchB-vlan3] port gigabitethernet 2/0/3

[SwitchB-vlan3] quit

[SwitchB] vlan 5

[SwitchB-vlan5] port gigabitethernet 2/0/1

[SwitchB-vlan5] isolate-user-vlan enable

[SwitchB-vlan5] quit

[SwitchB] isolate-user-vlan 5 secondary 2 3

(2)        配置SwitchA

# 创建VLAN 5，添加端口GigabitEthernet2/0/1到VLAN 5。

<SwitchA> system-view

[SwitchA] vlan 5

[SwitchA-vlan5] port gigabitethernet 2/0/1

[SwitchA-vlan5] interface vlan-interface 5

[SwitchA-Vlan-interface5] ip address 192.168.10.100 255.255.0.0

从Host A上ping不通Host B，表明Host A和Host B二层隔离。

# 配置本地代理ARP，实现VLAN 2和VLAN 3之间的三层互通。

[SwitchA-Vlan-interface5] local-proxy-arp enable

[SwitchA-Vlan-interface5] quit

从Host A上可以ping通Host B，表明Host A和Host B三层互通了。