目  录

1 ARP攻击防御

1.1 ARP攻击防御简介

1.2 ARP攻击防御配置任务简介

1.3 配置源MAC地址固定的ARP攻击检测功能

1.3.1 源MAC地址固定的ARP攻击检测功能简介

1.3.2 配置源MAC地址固定的ARP攻击检测功能

1.3.3 源MAC地址固定的ARP攻击检测显示和维护

1.3.4 源MAC地址固定的ARP攻击检测功能配置举例

1.4 配置ARP报文源MAC地址一致性检查功能

1.4.1 ARP报文源MAC地址一致性检查功能简介

1.4.2 配置ARP报文源MAC地址一致性检查功能

1.5 配置ARP主动确认功能

1.5.1 ARP主动确认功能简介

1.5.2 配置ARP主动确认功能

1.6 配置授权ARP功能

1.6.1 授权ARP功能简介

1.6.2 配置授权ARP功能

1.6.3 授权ARP功能在DHCP服务器上的典型配置举例

1.6.4 授权ARP功能在DHCP中继上的典型配置举例

1.7 配置ARP Detection功能

1.7.1 ARP Detection功能简介

1.7.2 配置ARP Detection功能

1.7.3 ARP Detection显示和维护

1.7.4 用户合法性检查配置举例

1.8 配置ARP自动扫描、固化功能

1.8.1 ARP自动扫描、固化功能简介

1.8.2 配置ARP自动扫描、固化功能

1.9 配置ARP网关保护功能

1.9.1 ARP网关保护功能简介

1.9.2 配置ARP网关保护功能

1.9.3 ARP网关保护功能配置举例

1.10 配置ARP过滤保护功能

1.10.1 ARP过滤保护功能简介

1.10.2 配置ARP过滤保护功能

1.10.3 ARP过滤保护功能配置举例

1 ARP攻击防御

1.1  ARP攻击防御简介

ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。

·     攻击者可以仿冒用户、仿冒网关发送伪造的ARP报文，使网关或主机的ARP表项不正确，从而对网络进行攻击。

·     攻击者通过向设备发送大量目标IP地址不能解析的IP报文，使得设备试图反复地对目标IP地址进行解析，导致CPU负荷过重及网络流量过大。

·     攻击者向设备发送大量ARP报文，对设备的CPU形成冲击。

目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行防范、检测和解决。

下面将详细介绍一下这些技术的原理以及配置。

1.2  ARP攻击防御配置任务简介

表1-1 ARP攻击防御配置任务简介

1.3  配置源MAC地址固定的ARP攻击检测功能

1.3.1  源MAC地址固定的ARP攻击检测功能简介

本特性根据ARP报文的源MAC地址对上送CPU的ARP报文进行统计，在5秒内，如果收到同一源MAC地址（源MAC地址固定）的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印日志信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的检查模式为监控模式，则只打印日志信息，不会将该源MAC地址发送的ARP报文过滤掉。

切换源MAC地址固定的ARP攻击检查模式时，如果从监控模式切换到过滤模式，过滤模式马上生效；如果从过滤模式切换到监控模式，已生成的攻击检测表项，到表项老化前还会继续按照过滤模式处理。

对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该设备存在攻击也不会被检测或过滤。

1.3.2  配置源MAC地址固定的ARP攻击检测功能

表1-2 配置源MAC地址固定的ARP攻击检测功能

1.3.3  源MAC地址固定的ARP攻击检测显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后源MAC地址固定的ARP攻击检测的运行情况，通过查看显示信息验证配置的效果。

表1-3 源MAC地址固定的ARP攻击检测显示和维护

1.3.4  源MAC地址固定的ARP攻击检测功能配置举例

1. 组网需求

某局域网内客户端通过网关与外部网络通信，网络环境如图1-1所示。

网络管理员希望能够防止因恶意用户对网关发送大量ARP报文，造成设备瘫痪，并导致其它用户无法正常地访问外部网络；同时，对于正常的大量ARP报文仍然会进行处理。

2. 组网图

图1-1 源MAC地址固定的ARP攻击检测功能配置组网图

3. 配置思路

如果恶意用户发送大量报文的源MAC地址是使用客户端合法的MAC地址，并且源MAC是固定的，可以在网关上进行如下配置：

·     使能源MAC固定ARP攻击检测功能，并选择过滤模式；

·     配置源MAC固定ARP报文攻击检测的阈值；

·     配置源MAC固定的ARP攻击检测表项的老化时间；

·     配置服务器的MAC为保护MAC，使服务器可以发送大量ARP报文。

4. 配置步骤

# 使能源MAC固定ARP攻击检测功能，并选择过滤模式。

<AC> system-view

[AC] arp source-mac filter

# 配置源MAC固定ARP报文攻击检测阈值为30个。

[AC] arp source-mac threshold 30

# 配置源MAC地址固定的ARP攻击检测表项的老化时间为60秒。

[AC] arp source-mac aging-time 60

# 配置源MAC固定攻击检查的保护MAC地址为0012-3f86-e94c。

[AC] arp source-mac exclude-mac 0012-3f86-e94c

1.4  配置ARP报文源MAC地址一致性检查功能

1.4.1  ARP报文源MAC地址一致性检查功能简介

ARP报文源MAC地址一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。

配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。

1.4.2  配置ARP报文源MAC地址一致性检查功能

表1-4 配置ARP报文源MAC地址一致性检查功能

1.5  配置ARP主动确认功能

1.5.1  ARP主动确认功能简介

ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。

启用ARP主动确认功能后，设备在新建或更新ARP表项前需进行主动确认，防止产生错误的ARP表项。

使能严格模式后，新建ARP表项前，ARP主动确认功能会执行更严格的检查：

·     收到目标IP地址为自己的ARP请求报文时，设备会发送ARP应答报文，但不建立ARP表项；

·     收到ARP应答报文时，需要确认本设备是否对该报文中的源IP地址发起过ARP解析：若发起过解析，解析成功后则设备启动主动确认功能，主动确认流程成功完成后，设备可以建立该表项；若未发起过解析，则设备丢弃该报文。

1.5.2  配置ARP主动确认功能

表1-5 配置ARP主动确认功能

1.6  配置授权ARP功能

1.6.1  授权ARP功能简介

所谓授权ARP（Authorized ARP），就是动态学习ARP的过程中，只有和DHCP服务器生成的租约或DHCP中继生成的安全表项一致的ARP报文才能够被学习。关于DHCP服务器和DHCP中继的介绍，请参见“三层技术-IP业务配置指导”中的“DHCP”。

使能接口的授权ARP功能后，系统会禁止该接口学习动态ARP表项，可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击，保证只有合法的用户才能使用网络资源，增加了网络的安全性。

1.6.2  配置授权ARP功能

表1-6 配置授权ARP功能

1.6.3  授权ARP功能在DHCP服务器上的典型配置举例

1. 组网需求

·     AC是DHCP服务器，为同一网段中的客户端动态分配IP地址，地址池网段为10.1.1.0/24。通过在AC接口上启用授权ARP功能来保证客户端的合法性。

·     Client是DHCP客户端，通过DHCP协议从DHCP服务器获取IP地址。

2. 组网图

图1-2 授权ARP功能典型配置组网图

3. 配置步骤

# 使能DHCP服务。

<AC> system-view

[AC] dhcp enable

[AC] dhcp server ip-pool 1

[AC-dhcp-pool-1] network 10.1.1.0 mask 255.255.255.0

[AC-dhcp-pool-1] quit

# 配置VLAN-interface10接口的IP地址为10.1.1.1/24。

[AC] interface vlan-interface 10

[AC-Vlan-interface10] ip address 10.1.1.1 24

# 使能接口授权ARP功能。

[AC-Vlan-interface10] arp authorized enable

[AC-Vlan-interface10] quit

# Client通过DHCP申请地址后，可以在AC上查看相应的授权信息。

[AC] display arp

  Type: S-Static   D-Dynamic   O-Openflow   R-Rule   I-Invalid

IP Address       MAC Address       VLAN     Interface   Aging    Type

10.1.1.2         0012-3f86-e94c    N/A      GE1/0/1     20       D

从以上信息可以获知AC为Client动态分配的IP地址为10.1.1.2。

此后，Client与AC通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致，否则将无法通信，保证了客户端的合法性。

1.6.4  授权ARP功能在DHCP中继上的典型配置举例

1. 组网需求

·     Switch充当DHCP服务器，为不同网段中的客户端动态分配IP地址，地址池网段为10.1.1.0/24。

·     AC是DHCP中继，通过在接口上启用授权ARP功能来保证客户端的合法性。

·     Client是DHCP客户端，通过DHCP中继从DHCP服务器获取IP地址。

2. 组网图

图1-3 授权ARP功能典型配置组网图

3. 配置步骤

(1)     配置Switch

# 配置接口的IP地址。

<Switch> system-view

[Switch] interface vlan-interface 10

[Switch-Vlan-interface10] ip address 10.1.1.1 24

[Switch-Vlan-interface10] quit

# 启用DHCP服务。

[Switch] dhcp enable

[Switch] dhcp server ip-pool 1

[Switch-dhcp-pool-1] network 10.10.1.0 mask 255.255.255.0

[Switch-dhcp-pool-1] gateway-list 10.10.1.1

[Switch-dhcp-pool-1] quit

[Switch] ip route-static 10.10.1.0 24 10.1.1.2

(2)     配置AC

# 启用DHCP服务。

<AC> system-view

[AC] dhcp enable

# 配置Vlan-interface20接口的IP地址。

[AC] interface vlan-interface 10

[AC-Vlan-interface10] ip address 10.1.1.2 24

[AC-Vlan-interface10] quit

[AC] interface vlan-interface 20

[AC-Vlan-interface20] ip address 10.10.1.1 24

# 配置Vlan-interface20接口工作在DHCP中继模式。

[AC-Vlan-interface20] dhcp select relay

# 配置DHCP服务器的地址。

[AC-Vlan-interface20] dhcp relay server-address 10.1.1.1

# 启用接口授权ARP功能。

[AC-Vlan-interface20] arp authorized enable

[AC-Vlan-interface20] quit

# 开启DHCP中继用户地址表项记录功能。

[AC] dhcp relay client-information record

4. 验证配置

# 用户通过DHCP申请地址后，在AC上查看授权ARP信息。

[AC] display arp

  Type: S-Static   D-Dynamic   O-Openflow   R-Rule  I-Invalid

IP Address       MAC Address     VLAN     Interface     Aging    Type

10.10.1.2        0012-3f86-e94c  N/A      GE1/0/2       20       D

从以上信息可以获知AC为Client动态分配的IP地址为10.10.1.2。

此后，Client与AC通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致，否则将无法通信，保证了客户端的合法性。

1.7  配置ARP Detection功能

1.7.1  ARP Detection功能简介

ARP Detection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。

ARP Detection包含三个功能：用户合法性检查、ARP报文有效性检查、ARP报文强制转发。

1. 用户合法性检查

对于ARP信任接口，不进行用户合法性检查；对于ARP非信任接口，需要进行用户合法性检查，以防止仿冒用户的攻击。

用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在接口上的合法用户，包括基于用户合法性规则检查和基于802.1X安全表项的检查。设备收到ARP报文后，首先进行基于用户合法性规则检查，如果找到与报文匹配的规则，则按照该规则对报文进行处理；如果未找到与报文匹配的规则，则继续进行基于802.1X安全表项的检查。如果找到与报文匹配的表项，就认为该ARP报文合法，进行转发。如果所有检查都没有找到匹配的表项，则认为是非法报文，直接丢弃。

2. ARP报文有效性检查

对于ARP信任接口，不进行报文有效性检查；对于ARP非信任接口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

·     源MAC地址的检查模式：会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致则认为有效，否则丢弃报文；

·     目的MAC地址的检查模式（只针对ARP应答报文）：会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，需要被丢弃；

·     IP地址检查模式：会检查ARP报文中的源IP或目的IP地址，如全1、或者组播IP地址都是不合法的，需要被丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。

3. ARP报文强制转发

对于从ARP信任接口接收到的ARP报文不受此功能影响，按照正常流程进行转发；对于从ARP非信任接口接收到的并且已经通过用户合法性检查的ARP报文的处理过程如下：

·     对于ARP请求报文，通过信任接口进行转发；

·     对于ARP应答报文，首先按照报文中的以太网目的MAC地址进行转发，若在MAC地址表中没有查到目的MAC地址对应的表项，则将此ARP应答报文通过信任接口进行转发。

1.7.2  配置ARP Detection功能

1. 配置用户合法性检查功能

配置用户合法性检查功能时，必须至少配置用户合法性规则和802.1X功能两者之一，否则所有从ARP非信任接口收到的ARP报文都将被丢弃。

表1-7 配置用户合法性检查功能

2. 配置ARP报文有效性检查功能

表1-8 配置ARP报文有效性检查功能

3. 配置ARP报文强制转发功能

进行下面的配置之前，需要保证已经配置了用户合法性检查功能。

表1-9 配置ARP报文强制转发功能

1.7.3  ARP Detection显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP Detection的运行情况，通过查看显示信息验证配置的效果。

表1-10 ARP Detection显示和维护

1.7.4  用户合法性检查配置举例

1. 组网需求

·     Switch是DHCP服务器；AC是支持802.1X的设备，在VLAN 10内启用ARP Detection功能，对认证客户端进行保护，保证合法用户可以正常转发报文，否则丢弃。

·     Client 1和Client 2是本地802.1X接入用户。

2. 组网图

图1-4 配置用户合法性检查组网图

3. 配置步骤

(1)     配置组网图中所有接口属于VLAN及Switch对应VLAN接口的IP地址（略）

(2)     配置DHCP服务器Switch

# 配置DHCP地址池0。

<Switch> system-view

[Switch] dhcp enable

[Switch] dhcp server ip-pool 0

[Switch-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0

(3)     配置客户端Client 1和 Client 2（略），必须使用上传IP地址方式。

(4)     配置AC

# 配置802.1X认证方式为CHAP。

<AC> system-view

[AC] dot1x authentication-method chap

# 配置名称为local的ISP域，并将认证、授权和计费的方式配置为本地。

[AC] domain local

[AC-isp-local] authentication lan-access local

[AC-isp-local] authorization lan-access local

[AC-isp-local] accounting lan-access local

[AC-isp-local] quit

# 配置无线服务模板，名称为wlas_local_chap，用户认证方式为802.1X，ISP域为local，SSID为wlas_local_chap。

[AC] wlan service-template wlas_local_chap

[AC-wlan-st-wlas_local_chap] client-security authentication-mode dot1x

[AC-wlan-st-wlas_local_chap] dot1x domain local

[AC-wlan-st-wlas_local_chap] ssid wlas_local_chap

# 无线服务模板使能。

[AC-wlan-st-wlas_local_chap] service-template enable

[AC-wlan-st-wlas_local_chap] quit

# 创建ap1，并配置序列号。

[AC] wlan ap ap1 model WA4320i-ACN

[AC-wlan-ap-ap 1] serial-id 210235A1BSC123000050

[AC-wlan-ap-ap 1] quit

# 配置Radio信道为149，并使能射频。

[AC] wlan ap ap1

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] channel 149

[AC-wlan-ap-ap1-radio-1] radio enable

# 将无线服务模板wlas_local_chap绑定到radio1上。

[AC-wlan-ap-ap1-radio-1] service-template wlas_local_chap

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

# 添加本地接入用户。

[AC] local-user test class network

[AC-luser-network-test] service-type lan-access

[AC-luser-network-test] password simple test

[AC-luser-network-test] quit

# 开启ARP Detection功能，对用户合法性进行检查。

[AC] vlan 10

[AC-vlan10] arp detection enable

# 接口状态缺省为非信任状态，上行接口配置为信任状态，下行接口按缺省配置。

[AC-vlan10] interface gigabitethernet 1/0/3

[AC-GigabitEthernet1/0/3] arp detection trust

[AC-GigabitEthernet1/0/3] quit

完成上述配置后，对于接口GigabitEthernet1/0/1和GigabitEthernet1/0/2收到的ARP报文，需基于802.1X安全表项进行用户合法性检查。

1.8  配置ARP自动扫描、固化功能

1.8.1  ARP自动扫描、固化功能简介

ARP自动扫描功能一般与ARP固化功能配合使用：

·     启用ARP自动扫描功能后，设备会对局域网内的邻居自动进行扫描（向邻居发送ARP请求报文，获取邻居的MAC地址，从而建立动态ARP表项）。

·     ARP固化功能用来将当前的ARP动态表项（包括ARP自动扫描生成的动态ARP表项）转换为静态ARP表项。通过对动态ARP表项的固化，可以有效防止攻击者修改ARP表项。

1.8.2  配置ARP自动扫描、固化功能

配置ARP自动扫描、固化功能时，需要注意：

·     对于已存在ARP表项的IP地址不进行扫描。

·     扫描操作可能比较耗时，用户可以通过<Ctrl_C>来终止扫描（在终止扫描时，对于已经收到的邻居应答，会建立该邻居的动态ARP表项）。

·     固化后的静态ARP表项与配置产生的静态ARP表项相同。

·     固化生成的静态ARP表项数量同样受到设备可以支持的静态ARP表项数目的限制，由于静态ARP表项数量的限制可能导致只有部分动态ARP表项被固化。

表1-11 配置ARP自动扫描、固化功能

1.9  配置ARP网关保护功能

1.9.1  ARP网关保护功能简介

在设备上不与网关相连的接口上配置此功能，可以防止伪造网关攻击。

在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址是否和配置的被保护网关的IP地址相同。如果相同，则认为此报文非法，将其丢弃；否则，认为此报文合法，继续进行后续处理。

1.9.2  配置ARP网关保护功能

配置ARP网关保护功能，需要注意：

·     每个接口最多支持配置8个被保护的网关IP地址。

·     不能在同一接口下同时配置命令arp filter source和arp filter binding。

·     本功能与ARP Detection功能配合使用时，先进行本功能检查，本功能检查通过后才会进行ARP Detection功能的处理。

表1-12 配置ARP网关保护功能

1.9.3  ARP网关保护功能配置举例

1. 组网需求

与AC相连的无线客户端Client 2进行了仿造网关Switch（IP地址为10.1.1.1）的ARP攻击，导致与AC相连的设备与网关Switch 通信时错误发往了错误的Client 2。

要求：通过配置防止这种仿造网关攻击。

2. 组网图

图1-5 配置ARP网关保护功能组网图

3. 配置步骤

# 在AC上配置ARP网关保护功能。

<AC> system-view

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] arp filter source 10.1.1.1

[AC-GigabitEthernet1/0/1] quit

[AC] interface gigabitethernet 1/0/2

[AC-GigabitEthernet1/0/2] arp filter source 10.1.1.1

完成上述配置后，对于Client 2发送的伪造的源IP地址为网关IP地址的ARP报文将会被丢弃，不会再被转发。

1.10  配置ARP过滤保护功能

1.10.1  ARP过滤保护功能简介

本功能用来限制接口下允许通过的ARP报文，可以防止仿冒网关和仿冒用户的攻击。

在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址和源MAC地址是否和允许通过的IP地址和MAC地址相同：

·     如果相同，则认为此报文合法，继续进行后续处理；

·     如果不相同，则认为此报文非法，将其丢弃。

1.10.2  配置ARP过滤保护功能

配置ARP过滤保护功能，需要注意：

·     每个接口最多支持配置8组允许通过的ARP报文的源IP地址和源MAC地址。

·     不能在同一接口下同时配置命令arp filter source和arp filter binding。

·     本功能与ARP Detection功能配合使用时，先进行本功能检查，本功能检查通过后才会进行ARP Detection功能的处理。

表1-13 配置ARP过滤保护功能

1.10.3  ARP过滤保护功能配置举例

1. 组网需求

·     Client 1的IP地址为10.1.1.2，MAC地址为000f-e349-1233。

·     Client 2的IP地址为10.1.1.3，MAC地址为000f-e349-1234。

·     限制AC的GigabitEthernet1/0/1、GigabitEthernet1/0/2接口只允许指定用户接入，不允许其他用户接入。

2. 组网图

图1-6 配置ARP过滤保护功能组网图

3. 配置步骤

# 配置AC的ARP过滤保护功能。

<AC> system-view

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] arp filter binding 10.1.1.2 000f-e349-1233

[AC-GigabitEthernet1/0/1] quit

[AC] interface gigabitethernet 1/0/2

[AC-GigabitEthernet1/0/2] arp filter binding 10.1.1.3 000f-e349-1234

完成上述配置后，接口GigabitEthernet1/0/1收到Client 1发出的源IP地址为10.1.1.2、源MAC地址为000f-e349-1233的ARP报文将被允许通过，其他ARP报文将被丢弃；接口GigabitEthernet1/0/2收到Client 2发出的源IP地址为10.1.1.3、源MAC地址为000f-e349-1234的ARP报文将被允许通过，其他ARP报文将被丢弃。