字段	描述
ARP source suppression is enabled	ARP源抑制功能处于开启状态
Current suppression limit	设备在5秒时间间隔内可以接收到的源IP相同，但目的IP地址不能解析的IP报文的最大数目

1.2 ARP报文限速配置命令

1.2.1 arp rate-limit

arp rate-limit命令用来开启ARP报文限速功能，并设置ARP报文限速速率。

undo arp rate-limit命令用来关闭ARP报文限速功能。

【命令】

arp rate-limit [ pps ]

undo arp rate-limit

【缺省情况】

ARP报文限速功能处于开启状态。

【视图】

二层以太网接口视图

二层聚合接口视图

三层以太网接口视图

三层聚合接口视图

【缺省用户角色】

network-admin

【参数】

pps：ARP限速速率，单位为包每秒（pps），取值范围为20～1000。如果未指定本参数，则用来恢复设备缺省ARP限速速率。

【使用指导】

不指定限速速率时，设备使用缺省限速速率，超过限速部分的报文会被丢弃。

【举例】

# 在二层以太网接口GigabitEthernet0/0/1上开启ARP报文限速功能，并设置ARP报文限速速率为50pps。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/0/1

[Sysname-GigabitEthernet0/0/1] arp rate-limit 50

1.2.2 arp rate-limit log enable

arp rate-limit log enable命令用来开启ARP报文限速日志功能。

undo arp rate-limit log enable命令用来关闭ARP报文限速日志功能。

【命令】

arp rate-limit log enable

undo arp rate-limit log enable

【缺省情况】

设备的ARP报文限速日志功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

当开启了ARP限速日志功能后，设备将这个时间间隔内的超速峰值作为日志的速率值发送到设备的信息中心，通过设置信息中心的参数，最终决定日志报文的输出规则（即是否允许输出以及输出方向）。有关信息中心参数的设置请参见“设备管理配置指导”中的“信息中心”。

【举例】

# 开启ARP报文限速日志功能。

<Sysname> system-view

[Sysname] arp rate-limit log enable

1.2.3 arp rate-limit log interval

arp rate-limit log interval命令用来配置当设备收到的ARP报文速率超过用户设定的限速值时，设备发送告警和日志的时间间隔。

undo arp rate-limit log interval命令用来恢复缺省情况。

【命令】

arp rate-limit log interval interval

undo arp rate-limit log interval

【缺省情况】

当设备收到的ARP报文速率超过用户设定的限速值时，设备发送告警和日志的时间间隔为60秒。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

interval：当端口上的ARP报文速率超过用户设定的限速值时，设备发送告警和日志的时间间隔。取值范围为1～86400，单位为秒。

【使用指导】

用户需要先开启发送告警或日志功能，然后配置此命令指定设备发送告警和日志的时间间隔，同时本命令必须和端口下的arp rate-limit命令配合使用，单独配置本命令无效。

【举例】

# 当设备收到的ARP报文速率超过用户设定的限速值时，配置设备发送告警和日志的时间间隔为120秒。

<Sysname> system-view

[Sysname] arp rate-limit log interval 120

【相关命令】

· arp rate-limit

· arp rate-limit log enable

· snmp-agent trap enable arp

1.2.4 snmp-agent trap enable arp

snmp-agent trap enable arp命令用来开启ARP模块的告警功能。

undo snmp-agent trap enable arp命令用来关闭ARP模块的告警功能。

【命令】

snmp-agent trap enable arp [ rate-limit ]

undo snmp-agent trap enable arp [ rate-limit ]

【缺省情况】

ARP模块的告警功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

rate-limit：开启ARP报文限速的告警功能。

【使用指导】

当开启了ARP模块的告警功能后，设备将这个时间间隔内的超速峰值作为告警信息发送出去，生成的告警信息将发送到设备的SNMP模块，通过设置SNMP中告警信息的发送参数，来决定告警信息输出的相关特性。

有关告警信息的详细描述，请参见“网络管理和监控配置指导”中的“SNMP”。

【举例】

# 开启ARP报文限速的告警功能。

<Sysname> system-view

[Sysname] snmp-agent trap enable arp rate-limit

1.3 源MAC地址固定的ARP攻击检测配置命令

1.3.1 arp source-mac

arp source-mac命令用来开启源MAC地址固定的ARP攻击检测功能，并选择检查模式。

undo arp source-mac命令用来关闭源MAC地址固定的ARP攻击检测功能。

【命令】

arp source-mac { filter | monitor }

undo arp source-mac [ filter | monitor ]

【缺省情况】

源MAC地址固定的ARP攻击检测功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

filter：配置检查方式为过滤模式。

monitor：配置检查方式为监控模式。

【使用指导】

建议在网关设备上开启本功能。

本特性根据ARP报文的源MAC地址对上送CPU的ARP报文进行统计，在5秒内，如果收到同一源MAC地址（源MAC地址固定）的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。当开启了ARP日志信息功能（配置arp check log enable命令），且在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印日志信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的检查模式为监控模式，则只打印日志信息，不会将该源MAC地址发送的ARP报文过滤掉。关于ARP日志信息功能的详细描述，请参见“三层技术-IP业务配置指导”中的“ARP”。

如果undo arp source-mac命令中未指定检查模式，则关闭任意检查模式的源MAC地址固定的ARP攻击检测功能。

【举例】

# 开启源MAC地址固定的ARP攻击检测功能，并选择filter检查模式。

<Sysname> system-view

[Sysname] arp source-mac filter

1.3.2 arp source-mac aging-time

arp source-mac aging-time命令用来配置源MAC地址固定的ARP攻击检测表项的老化时间。

undo arp source-mac aging-time命令用来恢复缺省情况。

【命令】

arp source-mac aging-time time

undo arp source-mac aging-time

【缺省情况】

源MAC地址固定的ARP攻击检测表项的老化时间为300秒。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

time：源MAC地址固定的ARP攻击检测表项的老化时间，取值范围为60～6000，单位为秒。

【举例】

# 配置源MAC地址固定的ARP攻击检测表项的老化时间为60秒。

<Sysname> system-view

[Sysname] arp source-mac aging-time 60

1.3.3 arp source-mac exclude-mac

arp source-mac exclude-mac命令用来配置保护MAC地址。当配置了保护MAC地址之后，即使该ARP报文中的MAC地址存在攻击也不会被检测过滤。

undo arp source-mac exclude-mac命令用来取消配置的保护MAC地址。

【命令】

arp source-mac exclude-mac mac-address&<1-10>

undo arp source-mac exclude-mac [ mac-address&<1-10> ]

【缺省情况】

未配置任何保护MAC地址。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

mac-address&<1-10>：MAC地址列表。其中，mac-address表示配置的保护MAC地址，格式为H-H-H。&<1-10>表示每次最多可以配置的10个保护MAC地址。

【使用指导】

如果undo命令中未指定MAC地址，则取消所有已配置的保护MAC地址。

【举例】

# 配置源MAC地址固定的ARP攻击检查的保护MAC地址为001e-1200-0213。

<Sysname> system-view

[Sysname] arp source-mac exclude-mac 001e-1200-0213

1.3.4 arp source-mac threshold

arp source-mac threshold命令用来配置源MAC地址固定的ARP报文攻击检测阈值，当在固定的时间（5秒）内收到源MAC地址固定的ARP报文超过该阈值则认为存在ARP报文攻击。

undo arp source-mac threshold命令用来恢复缺省情况。

【命令】

arp source-mac threshold threshold-value

undo arp source-mac threshold

【缺省情况】

源MAC地址固定的ARP报文攻击检测阈值为30。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

threshold-value：固定时间内源MAC地址固定的ARP报文攻击检测的阈值，单位为报文个数，取值范围为1～5000。

【举例】

# 配置源MAC地址固定的ARP报文攻击检测阈值为30个。

<Sysname> system-view

[Sysname] arp source-mac threshold 30

1.3.5 display arp source-mac

display arp source-mac命令用来显示检测到的源MAC地址固定的ARP攻击检测表项。

【命令】

display arp source-mac { interface interface-type interface-number [ slot slot-number ] | slot slot-number }

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

interface interface-type interface-number：显示指定接口检测到的源MAC地址固定的ARP攻击检测表项，interface-type interface-number表示指定接口的类型和编号。对于虚拟接口，还支持通过指定位置参数来显示指定位置上该虚拟接口对应的物理口检测到的源MAC地址固定的ARP攻击检测表项。

slot slot-number：显示指定单板检测到的源MAC地址固定的ARP攻击检测表项。slot-number表示单板所在的槽位号。如果未指定本参数，则显示主用主控板检测到的源MAC地址固定的ARP攻击检测表项。

【举例】

# 显示接口GigabitEthernet0/0/1检测到的源MAC地址固定的ARP攻击检测表项。

<Sysname> display arp source-mac interface gigabitethernet 0/0/1

Source-MAC VLAN ID Interface Aging-time

23f3-1122-3344 4094 GE0/0/1 10

表1-2 display arp source-mac命令显示信息描述表

字段	描述
Source-MAC	检测到攻击的源MAC地址
VLAN ID	检测到攻击的VLAN ID
Interface	攻击来源的接口
Aging-time	ARP防攻击策略表项老化剩余时间，单位为分钟

1.3.6 display arp source-mac statistics

display arp source-mac statistics命令用来显示ARP攻击检测功能丢弃的源MAC地址固定的ARP攻击报文计数统计信息。

【命令】

display arp source-mac statistics slot slot-number

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

slot slot-number：指定单板。slot-number为单板所在的槽位号。

【举例】

# 显示设备上ARP攻击检测功能丢弃的源MAC地址固定的ARP攻击报文计数统计信息。

<Sysname> display arp source-mac statistics

Dropped ARP packets:23321

表1-3 display arp source-mac statistics命令显示信息描述表

字段	描述
Dropped ARP packets	被丢弃的源MAC固定的ARP攻击报文数

【相关命令】

· arp source-mac

1.3.7 reset arp source-mac statistics

reset arp source-mac statistics命令用来清除源MAC地址固定的ARP攻击检测丢弃ARP攻击报文的计数统计信息。

【命令】

reset arp source-mac statistics { all | [ slot slot-number ] }

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

all：清除所有的计数统计信息。

slot slot-number：指定单板。slot-number为单板所在的槽位号。如果不指定本参数，则表示指定主用主控板。

【使用指导】

如果未指定任何参数，则清除设备上所有源MAC地址固定的ARP攻击检测丢弃ARP攻击报文的计数统计信息。

【举例】

# 清除设备上所有源MAC地址固定的ARP攻击检测丢弃ARP攻击报文的计数统计信息。

<Sysname> reset arp source-mac statistics

【相关命令】

· display arp source-mac statistics

1.4 ARP报文源MAC地址一致性检查配置命令

1.4.1 arp valid-check enable

arp valid-check enable命令用来开启ARP报文源MAC地址一致性检查功能。

undo arp valid-check enable命令用来关闭ARP报文源MAC地址一致性检查功能。

【命令】

arp valid-check enable

undo arp valid-check enable

【缺省情况】

ARP报文源MAC地址一致性检查功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

ARP报文源MAC地址一致性检查功能主要应用于网关设备。

开启ARP报文源MAC地址一致性检查功能后，设备会对接收的ARP报文进行检查，如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则丢弃该报文。

【举例】

# 开启ARP报文源MAC地址一致性检查功能。

<Sysname> system-view

[Sysname] arp valid-check enable

1.4.2 display arp valid-check statistics

display arp valid-check statistics命令用来显示ARP报文源MAC地址一致性检查功能丢弃的ARP报文计数统计信息。

【命令】

display arp valid-check statistics slot slot-number

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

slot slot-number：指定单板。slot-number为单板所在的槽位号。

【举例】

# 显示设备上ARP报文源MAC地址一致性检查功能丢弃的ARP报文计数统计信息。

<Sysname> display arp valid-check statistics

Dropped ARP packets: 23321

表1-4 display arp valid-check statistics命令显示信息描述表

字段	描述
Dropped ARP packets	源MAC地址一致性检查不通过而丢弃的ARP报文数

【相关命令】

· arp valid-check enable

1.4.3 reset arp valid-check statistics

reset arp valid-check statistics命令用来清除ARP报文源MAC地址一致性检查功能丢弃的ARP报文计数统计信息。

【命令】

reset arp valid-check statistics { all | slot slot-number }

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

all：清除所有的计数统计信息。

slot slot-number：指定单板。slot-number为单板所在的槽位号。

【举例】

# 清除设备上ARP报文源MAC地址一致性检查功能丢弃的ARP报文计数统计信息。

<Sysname> reset arp valid-check statistics

【相关命令】

· display arp valid-check statistics

1.5 ARP主动确认配置命令

1.5.1 arp active-ack enable

arp active-ack enable命令用来开启ARP主动确认功能。

undo arp active-ack enable命令用来关闭ARP主动确认功能。

【命令】

arp active-ack [ strict ] enable

undo arp active-ack [ strict ] enable

【缺省情况】

ARP主动确认功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

strict：ARP主动确认功能的严格模式。

【使用指导】

ARP的主动确认功能主要应用于网关设备，防止攻击者仿冒用户欺骗网关设备。

【举例】

# 开启ARP主动确认功能。

<Sysname> system-view

[Sysname] arp active-ack enable

1.6 授权ARP配置命令

1.6.1 arp authorized enable

arp authorized enable命令用来开启接口下的授权ARP功能。

undo arp authorized enable命令用来关闭接口下的授权ARP功能。

【命令】

arp authorized enable

undo arp authorized enable

【缺省情况】

接口下的授权ARP功能处于关闭状态。

【视图】

三层以太网接口视图

三层以太网子接口视图

三层聚合接口视图

三层聚合子接口视图

VSI虚接口视图

VLAN接口视图

【缺省用户角色】

network-admin

【举例】

# 开启GigabitEthernet0/0/1接口下授权ARP功能。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/0/1

[Sysname-GigabitEthernet0/0/1] arp authorized enable

1.7 ARP自动扫描、固化配置命令

1.7.1 arp fixup

arp fixup命令用来将设备上的动态ARP表项转化成静态ARP表项。

undo arp fixup命令用来将设备上有效静态ARP表项转化为动态ARP表项，将无效静态ARP表项删除。

【命令】

arp fixup

undo arp fixup

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

本命令将当前的动态ARP表项转换为静态ARP表项，后续学习到的动态ARP表项可以通过再次执行arp fixup命令进行固化。

固化后的静态ARP表项与配置产生的静态ARP表项相同。

固化生成的静态ARP表项数量同样受到设备可以支持的静态ARP表项数目的限制，由于静态ARP表项数量的限制可能导致只有部分动态ARP表项被固化。

如果用户执行固化前有D个动态ARP表项，S个静态ARP表项，由于固化过程中存在动态ARP表项的老化或者新建动态ARP表项的情况，所以固化后的静态ARP表项可能为（D＋S＋M－N）个。其中，M为固化过程中新建的动态ARP表项个数，N为固化过程中老化的动态ARP表项个数。

通过固化生成的静态ARP表项，可以通过命令行undo arp ip-address [ vpn-instance-name ]逐条删除，也可以通过命令行reset arp all或reset arp static全部删除。

【举例】

# 将设备上的动态ARP表项转化成静态ARP表项。

<Sysname> system-view

[Sysname] arp fixup

This command will convert existing dynamic ARP entries to static ARP entries. Continue? [Y/N]:Y

Fixup ARP. Please wait...

Fixup is complete.

1.7.2 arp scan

arp scan命令用来开启ARP自动扫描功能。

【命令】

arp scan [ start-ip-address to end-ip-address ]

【视图】

三层以太网接口视图

三层以太网子接口视图

三层聚合接口视图

三层聚合子接口视图

VSI虚接口视图

VLAN接口视图

【缺省用户角色】

network-admin

【参数】

start-ip-address：ARP扫描区间的起始IP地址。起始IP地址必须小于等于终止IP地址。

end-ip-address：ARP扫描区间的终止IP地址。

【使用指导】

扫描操作可能比较耗时，且会占用较大的设备资源和网络负载。可以通过<Ctrl_C>来终止扫描（在终止扫描时，对于已经收到的邻居应答，会建立该邻居的动态ARP表项）。

ARP自动扫描功能可以对接口下指定地址范围内的邻居进行扫描，对于已存在ARP表项的IP地址不进行扫描。

如果用户知道局域网内邻居分配的IP地址范围，指定了ARP扫描区间，则对该范围内的邻居进行扫描，减少扫描等待的时间。如果指定的扫描区间同时在接口下多个IP地址的网段内，则发送的ARP请求报文的源IP地址选择网段范围较小的接口IP地址。

如果用户不指定ARP扫描区间的起始IP地址和终止IP地址，则仅对接口下的主IP地址网段内的邻居进行扫描。其中，发送的ARP请求报文的源IP地址就是接口的主IP地址。

ARP扫描区间的起始IP地址和终止IP地址必须与接口的IP地址（主IP地址或手工配置的从IP地址）在同一网段。

【举例】

# 对接口GigabitEthernet0/0/1下的主IP地址网段内的邻居进行扫描。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/0/1

[Sysname-GigabitEthernet0/0/1] arp scan

# 对接口GigabitEthernet0/0/1下指定地址范围内的邻居进行扫描。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/0/1

[Sysname-GigabitEthernet0/0/1] arp scan 1.1.1.1 to 1.1.1.20

1.7.3 arp scan auto enable

arp scan auto enable命令用来在接口上开启ARP周期性自动扫描功能，并指定扫描范围。

undo arp scan auto enable命令用来在接口上关闭ARP周期性自动扫描功能。

【命令】

arp scan auto enable [ start-ip-address to end-ip-address [ source-addr source-ip-address ] ]

undo arp scan auto enable

【缺省情况】

接口上的ARP周期性自动扫描功能处于关闭状态。

【视图】

三层以太网接口视图

三层以太网子接口视图

三层聚合接口视图

三层聚合子接口视图

VSI接口视图

VLAN接口视图

L3VE接口视图

【缺省用户角色】

network-admin

【参数】

start-ip-address：ARP自动扫描区间的起始IP地址。起始IP地址必须小于等于终止IP地址。

to end-ip-address：ARP自动扫描区间的终止IP地址。起始IP地址和终止IP地址之间的地址个数不能超过65535。

source-addr source-ip-address：手动指定ARP请求报文的源地址。source-ip-address可以是任何合法的IP地址。若不指定该参数，则ARP请求报文的源地址为所在接口的IP地址。

【使用指导】

应用场景

接口上开启了ARP周期自动扫描功能后，会定时向接口指定范围内的所有不存在ARP表项的IP地址发送ARP请求报文。通过在接口上开启本功能，解决了接口ARP表项无法及时刷新的问题。

工作机制

如果用户知道局域网内邻居分配的IP地址范围，指定了ARP扫描区间，则对该范围内的邻居进行扫描，减少扫描等待的时间。接口发送ARP请求报文时使用的源地址可自行指定，缺省为配置的接口IP地址：

· 如果用户指定了ARP扫描区间的起始IP地址和终止IP地址：

¡ 如果用户未指定源source-addr参数，则接口将对ARP扫描区间和接口所在网段的交集进行扫描。如果接口上配置了多个网段的IP地址，且这些网段与ARP扫描区间都有交集，则设备发送ARP请求时会通过发送ARP请求的目的IP地址去匹配网段掩码较长的地址作为ARP请求报文的源IP地址；如果子网掩码长度相同，则选择接口主IP地址；若待扫描的IP地址全部在接口下同一个IP地址网段内，则选择此IP地址。

¡ 如果用户指定了source-addr参数，则接口将对ARP扫描区间进行扫描，不判断与接口网段的交集。

· 如果用户不指定ARP扫描区间的起始IP地址和终止IP地址，则仅对接口下的主IP地址网段内的邻居进行扫描。其中，发送的ARP请求报文的源IP地址就是接口的主IP地址。

注意事项

接口上开启了ARP周期自动扫描功能后，会按照扫描速率向扫描区间的所有IP地址发送ARP请求报文，设备发送ARP报文的速率可在系统视图下通过arp scan auto send-rate命令设置。

如果接口下同时配置了本命令和arp scan命令，则两个功能可以同时生效。通常，仅建议在网络中用户频繁上下线的环境下开启本功能。

【举例】

# 对接口GigabitEthernet0/0/1下的主IP地址网段内的邻居进行扫描。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/0/1

[Sysname-GigabitEthernet0/0/1] arp scan auto enable

【相关命令】

· arp scan auto send-rate

1.7.4 arp scan auto send-rate

arp scan auto send-rate命令用来设置ARP周期自动扫描速率。

undo arp scan auto send-rate命令用来恢复缺省情况。

【命令】

arp scan auto send-rate { ppm ppm | pps }

undo arp scan auto send-rate

【缺省情况】

ARP周期自动扫描速率为每秒发送48个包。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ppm ppm：接口发送ARP报文的速率，单位为包每分钟。ppm的取值范围为10～600，且配置需要设置为10的整数倍。

pps：接口发送ARP报文的速率，单位为包每秒。pps的取值范围为10～1000，且需要设置为10的整数倍。

【使用指导】

接口下开启了ARP周期自动扫描功能的情况下，为避免大量ARP报文的发送对设备性能造成影响，可通过本命令调整设备发送的ARP报文的速率。

当发送ARP报文的速率配置为较大值时，为避免影响设备性能，设备实际发送ARP报文的速率可能会小于该配置值。

【举例】

# 配置ARP周期自动扫描速率为每秒发送10个包。

<Sysname> system-view

[Sysname] arp scan auto send-rate 10

【相关命令】

· arp scan auto enable

1.8 ARP网关保护配置命令

1.8.1 arp filter source

arp filter source命令用来开启ARP网关保护功能，配置受保护的网关IP地址。

undo arp filter source命令用来关闭ARP网关保护功能，并删除已配置的受保护网关IP地址。

【命令】

arp filter source ip-address

undo arp filter source ip-address

【缺省情况】

ARP网关保护功能处于关闭状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【参数】

ip-address：受保护的网关IP地址。

【使用指导】

每个接口最多支持配置8个受保护的网关IP地址。

不能在同一接口下同时配置命令arp filter source和arp filter binding。

【举例】

# 在GigabitEthernet0/0/1下开启ARP网关保护功能，受保护的网关IP地址为1.1.1.1。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/0/1

[Sysname-GigabitEthernet0/0/1] arp filter source 1.1.1.1

1.9 ARP过滤保护配置命令

1.9.1 arp filter binding

arp filter binding命令用来开启ARP过滤保护功能并配置ARP过滤保护表项。

undo arp filter binding命令用来删除ARP过滤保护表项。

【命令】

arp filter binding ip-address mac-address

undo arp filter binding ip-address

【缺省情况】

ARP过滤保护功能处于关闭状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【参数】

ip-address：允许通过的ARP报文的源IP地址。

mac-address：允许通过的ARP报文的源MAC地址。

【使用指导】

ARP过滤保护表项可以限制只有特定源IP地址和源MAC地址的ARP报文才允许通过。

每个接口最多支持配置8组允许通过的ARP报文的源IP地址和源MAC地址。

不能在同一接口下同时配置命令arp filter source和arp filter binding。

【举例】

# 在GigabitEthernet0/0/1下开启ARP过滤保护功能，允许源IP地址为1.1.1.1、源MAC地址为0e10-0213-1023的ARP报文通过。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/0/1

[Sysname-GigabitEthernet0/0/1] arp filter binding 1.1.1.1 0e10-0213-1023

1.10 配置ARP报文源IP地址检查功能配置命令

1.10.1 arp sender-ip-range

arp sender-ip-range命令用来配置可接受的ARP报文中sender IP的地址范围。

undo arp sender-ip-range命令用来恢复缺省情况。

【命令】

arp sender-ip-range start-ip-address end-ip-address

undo arp sender-ip-range

【缺省情况】

未限制ARP报文中sender IP的地址范围。

【视图】

VLAN视图

【缺省用户角色】

network-admin

【参数】

start-ip-address：起始IP地址。

end-ip-address：终止IP地址，必须大于等于起始IP地址。

【使用指导】

如果设备收到的VLAN内ARP报文的sender IP不在指定地址范围内，则将该ARP报文丢弃。

多次执行本命令，最后一次执行的命令生效。

【举例】

# 在VLAN 2内配置可接受的ARP报文中sender IP的地址范围为1.1.1.1～1.1.1.20。

<Sysname> system-view

[Sysname] vlan 2

[Sysname–vlan2] arp sender-ip-range 1.1.1.1 1.1.1.20

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

技术支持

自助服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

19-安全命令参考

目录

13-ARP攻击防御命令

1 ARP攻击防御

1.1 ARP防止IP报文攻击配置命令

1.2 ARP报文限速配置命令

1.2.4 snmp-agent trap enable arp

1.3 源MAC地址固定的ARP攻击检测配置命令

1.4 ARP报文源MAC地址一致性检查配置命令

1.5 ARP主动确认配置命令

1.6 授权ARP配置命令

1.7 ARP自动扫描、固化配置命令

应用场景

工作机制

注意事项

1.8 ARP网关保护配置命令

1.9 ARP过滤保护配置命令

1.10 配置ARP报文源IP地址检查功能配置命令

联系我们