- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
03-ARP攻击防御配置 典型配置案例
本章节下载： 03-ARP攻击防御配置 典型配置案例 (366.47 KB)
本文档介绍了MSR系列路由器ARP攻击防御功能配置举例。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本配置举例是在MSR系列路由器R9161版本上进行配置和验证的。
如图1所示，Router是企业的出口网关，为保障网络安全性，防止ARP欺骗攻击，网络管理员计划通过Web界面配置ARP攻击防御策略：
· 关闭GE0/0/0接口动态ARP学习，防止非法用户接入后生成错误ARP表项；
· 执行ARP扫描并固化合法用户55.99.50.1~55.99.50.7的ARP表项为静态ARP表项；
· 启用“仅允许ARP静态绑定用户访问外网”功能，提升网络安全。
图1 ARP攻击防御功能配置组网图
(1) 单击导航树中[网络安全/ARP攻击防御]菜单项，进入ARP攻击防御配置页面。
(2) 单击“动态ARP表项学习”页签，进入动态ARP表项学习配置页面。
(3) 在接口的“ARP学习”配置项处，选择端口GE0/0/0，单击<关闭>按钮，不允许接口学习新的动态ARP表项。
图2 关闭动态ARP表项学习功能
(1) 单击“动态ARP管理”页签，进入动态ARP表项管理配置页面。
(2) 单击<扫描>按钮，进入扫描配置页面。
(3) 在接口配置项处，选择“GE0/0/0”。
(4) 在“开始IP地址”和“结束IP地址”配置项处，输入ARP扫描操作的起止IP地址，55.99.48.1 和55.99.63.254。
(5) 可勾选“对已存在ARP表项的IP地址也进行扫描”后，ARP扫描功能会对开始IP地址和结束IP地址中的所有IP地址进行扫描，不会区分是否已存在ARP表项。
(6) 单击<确定>按钮，进行扫描。
(7) 扫描完成后，选择IP地址为55.99.50.1~55.99.50.7对应的动态ARP表项，再单击<固化>按钮，确认后则可以将这些动态ARP表项固化为静态ARP表项，固化后的表项可在“攻击防御管理”页签查看。
图3 动态ARP管理
(1) 单击“攻击防御管理”页签，进入攻击防御管理配置页面。
(2) 选择“仅允许ARP静态绑定的客户访问外网”，此时设备禁止学习动态ARP表项并删除已有的动态ARP表项（WAN接口除外），同时动态ARP表项对应的用户无法访问设备和外网，只有静态ARP表项对应的用户可以访问设备和外网。
(3) 单击<应用>按钮，使配置生效。
此操作会停止设备学习ARP表项，请确保设备上已经存在网管客户端对应的静态ARP表项，否则网管客户端无法使用。
(4) 如需添加静态ARP表项，则单击<添加>按钮，进入“添加ARP表项”页面。
(5) 在“添加ARP表项”页面，在IP地址和MAC地址配置项处，输入“55.99.48.1”和“00-0F-E1-40-00-01”，单击“确定”按钮，静态ARP表项添加成功。
图4 攻击防御管理
(6) 通过以上配置，仅静态ARP表项对应的IP地址可以访问设备和外网。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
