ARP基础配置
路由器静态ARP配置命令
4.2.2 clear arp-cache< g>
清空ARP映射表。
clear arp-cache
【命令模式】
特权用户模式
【使用指南】
在某些情况下，需要清空并更新ARP映射表，这时可以用arp -d逐条删除，也可以用clear arp-cache命令一次清空。
【命令模式】
全局配置模式
【使用指南】
一般情况下，ARP映射表由动态ARP协议维护，在特殊情况下，才需要手工配置。另外ARP映射表只用于局域网内，对于广域网的地址解析，有其它的配置或获取方法（如帧中继的逆向地址解析）。
【举例】
配置局域网内IP地址129.102.0.1对应的以太网MAC地址为00-e0-fc-01-00-00，而且临时有效。
【相关命令】
arp，clear arp-cache
【参数说明】
-a表示显示ARP映射表。
-d表示删除ARP映射项。
-s表示增加ARP映射项。
ip-address为ARP映射项的IP地址，为点分十进制格式。
ether-address为ARP映射项的以太网MAC地址，格式为XX-XX-XX-XX-XX-XX，其中XX为十六进制数。
路由器静态ARP配置命令
2000-05-18 00:00作者：出处：华为责任编辑：
strong>静态ARP配置命令
4.2.1 arp
配置或显示ARP映射表。
arp -a [ ip-address ]
arp -d ip-address
arp -s ip-address ether-address [ temp ]
【举例】
ARP软件使用说明
ARP软件使用说明ARP软件使用说明本文档为ARP软件使用说明，旨在详细介绍ARP软件的安装、配置和使用方法。
请按照以下章节进行操作。
1.准备工作1.1 系统要求在开始安装ARP软件之前，请确保您的计算机满足以下系统要求：- 操作系统：Windows 10或更高版本- 内存：至少8GB- 存储空间：至少100GB可用空间1.2 ARP软件您可以从我们的官方网站最新版本的ARP软件安装包。
访问[官方网站]，在页面找到适用于您操作系统的安装包，并保存到您的计算机上。
2.安装ARP软件2.1 运行安装程序找到您保存的ARP软件安装包，并双击运行安装程序。
按照安装向导的提示完成安装，选择适当的安装目录和其他选项。
2.2 启动ARP软件安装完成后，您可以在开始菜单或桌面上找到ARP软件的快捷方式。
双击该快捷方式，启动ARP软件。
3.配置ARP软件在您首次启动ARP软件时，您将需要进行一些基本的配置。
3.1 建立连接在ARP软件的主界面，选择“建立连接”选项。
根据您的网络环境，选择合适的连接方式，如局域网连接或互联网连接。
输入所需的网络参数，例如IP地质、端口号等。
3.2 配置安全选项在ARP软件的设置菜单中，您可以配置安全选项，例如启用密码验证、设置访问控制列表（ACL）等。
请根据您的需求进行相应配置。
4.使用ARP软件4.1 设备管理在ARP软件的主界面，选择“设备管理”选项。
您可以添加、删除和编辑网络中的设备。
通过设备管理功能，您可以对每个设备进行基本的配置和监控。
4.2 流量分析ARP软件提供了流量分析功能，可以帮助您监控和分析网络中的数据流量。
选择“流量分析”选项，您可以查看实时流量图表、排行榜和连接状态。
4.3 日志记录ARP软件可以记录网络中的活动日志。
在“日志记录”选项中，您可以选择启用日志记录功能，并设置日志的保存路径和级别。
5.附件本文档附带以下附件供参考：- ARP软件安装包：[附件]6.法律名词及注释- ARP：地质解析协议（Address Resolution Protocol）是在TCP/IP网络中，通过已知的IP地质查询对应的MAC地质的一个网络传输协议。
路由器的静态ARP设置技巧
路由器的静态ARP设置技巧路由器是我们日常生活和工作中常见的网络设备，用于连接多个局域网或广域网。
在进行网络通信时，路由器通过ARP协议（地址解析协议）将IP地址映射为MAC地址，以实现数据包的转发。
然而，在某些情况下，我们需要手动设置静态ARP，以便更好地管理和优化网络性能。
本文将介绍路由器的静态ARP设置技巧，以帮助读者更好地理解和应用。
一、静态ARP的概念和作用静态ARP，即手动建立ARP表项，是一种将IP地址和MAC地址的对应关系手动录入到路由器的ARP缓存中的方法。
与动态ARP相比，静态ARP的主要优势在于可以减少广播以及加快数据包的转发速度，同时还可以提高网络的安全性。
通过静态ARP设置，我们可以在路由器上手动指定某些设备的MAC地址，使其之间的通信更稳定、高效。
二、静态ARP的配置步骤要在路由器上进行静态ARP设置，需要按照以下步骤进行操作：1. 登录路由器的管理界面。
2. 找到“ARP静态绑定”或类似的选项，进入静态ARP设置页面。
3. 点击“添加”或“新增”按钮，开始配置静态ARP表项。
4. 在弹出的配置页面中，填写需要设置的设备的IP地址和MAC地址。
5. 点击“保存”或“应用”按钮，完成静态ARP的配置。
需要注意的是，静态ARP的配置需要确保IP地址和MAC地址的对应关系是准确的，填写错误可能导致设备无法正常通信或网络出现异常问题。
三、静态ARP设置的应用场景1. 互联网接入控制：某些情况下，我们可能需要限制某些设备访问互联网。
通过静态ARP设置，我们可以将这些设备的IP地址与一个错误的MAC地址进行绑定，使其无法正确解析目标MAC地址，从而实现对其互联网访问的限制。
2. 局域网内设备管理：在企业或家庭网络中，我们常常需要对特定设备进行管理和控制。
通过静态ARP设置，我们可以对这些设备进行特殊配置，实现对其的有效管理和控制。
3. 提高网络性能：在网络拓扑较复杂或设备众多的情况下，动态ARP可能会导致网络拥塞或负载过大。
华为交换机 01-02 ARP配置
2.5 优化动态 ARP
ARP表项动态学习是主机和交换机本身就具有的功能，并且设备的缺省状态即为ARP表 项动态学习，不需要使用命令启动此功能。但根据网络需要，用户可以调整动态ARP 的一些参数。
前置任务
在优化动态ARP之前，需完成以下任务： ● 配置接口的链路层协议参数，使接口的链路协议状态为Up。
2.2 设备支持的 ARP 特性
ARP可以分为静态和动态两种。设备还支持一些扩展ARP的应用，比如Proxy ARP、出 口ARP检测EAI(Egress ARP Inspection)功能以及配置IP地址冲突检测功能。
动态 ARP 和静态 ARP 对比
ARP表项分为动态ARP表项和静态ARP表项。动态ARP和静态ARP的概念、表项生成与 维护情况和应用场景如表2-1所示。
该场景存在这样一个问题：当SwitchB接收到ARP请求报文时，SwitchB会在整个VLAN 内广播该ARP请求报文，增大了该VLAN内的网络负荷。
图 2-1 EAI 功能组网图 SwitchA
DHCP Server SwitchB
VLAN2 VLANIF 2 10.10.10.12/24
UserC
S2700, S3700 系列以太网交换机 配置指南-IP 业务
2 ARP 配置
2 ARP 配置
关于本章
ARP（Address Resolution Protocol）是一种地址解析协议。通过ARP协议，建立IP地 址与MAC地址之间的映射，实现以太网数据帧在物理网络中的传送。
2.1 ARP概述 ARP提供了一种将IP地址解析为MAC地址的解析机制，是以太网通信的基础。
表 2-1 动态 ARP 与静态 ARP 对比表
配置ARP安全综合功能示例
配置ARP安全综合功能示例组网需求如图1所示，Switch作为网关通过接口Eth0/0/3连接一台服务器，通过接口Eth0/0/1、Eth0/0/2连接VLAN10和VLAN20下的四个用户。
网络中存在以下ARP威胁：·攻击者向Switch发送伪造的ARP报文、伪造的免费ARP报文进行ARP欺骗攻击，恶意修改Switch 的ARP表项，造成其他用户无法正常接收数据报文。
·攻击者发出大量目的IP地址不可达的IP报文进行ARP泛洪攻击，造成Switch的CPU负荷过重。
·用户User1构造大量源IP地址变化MAC地址固定的ARP报文进行ARP泛洪攻击，造成Switch的ARP表资源被耗尽，影响到正常业务的处理。
·用户User3构造大量源IP地址固定的ARP报文进行ARP泛洪攻击，造成Switch的CPU进程繁忙，影响到正常业务的处理。
管理员希望能够防止上述ARP攻击行为，为用户提供更安全的网络环境和更稳定的网络服务。
图1 配置ARP安全功能组网图配置思路采用如下思路在Switch上进行配置：1. 配置ARP表项严格学习功能以及ARP表项固化功能，实现防止伪造的ARP报文错误地更新Switch的ARP表项。
2. 配置根据源IP地址进行ARP Miss消息限速，实现防止用户侧存在攻击者发出大量目的IP地址不可达的IP报文触发大量ARP Miss消息，形成ARP泛洪攻击。
同时需要保证Switch可以正常处理服务器发出的大量此类报文，避免因丢弃服务器发出的大量此类报文而造成网络无法正常通信。
3. 配置基于接口的ARP表项限制，实现防止User1发送的大量源IP地址变化MAC地址固定的ARP 报文形成的ARP泛洪攻击，避免Switch的ARP表资源被耗尽。
4. 配置根据源IP地址进行ARP限速，实现防止User3发送的大量源IP地址固定的ARP报文形成的ARP泛洪攻击，避免Switch的CPU进程繁忙。
H3C_ARP配置
H3C_ARP配置1 ARP配置1.1 ARP配置命令1.1.1 arp anti-attack valid-check enable【命令】arp anti-attack valid-check enableundo arp anti-attack valid-check enable【视图】系统视图【参数】⽆【描述】arp anti-attack valid-check enable命令⽤于开启ARP报⽂源MAC地址⼀致性检查功能。
undo arp anti-attack valid-check enable命令⽤于关闭ARP源MAC地址⼀致性检查功能。
缺省情况下，交换机的ARP源MAC地址⼀致性检查功能处于关闭状态。
【举例】# 开启交换机ARP报⽂源MAC地址⼀致性检查功能。
system-view[sysname] arp anti-attack valid-check enable1.1.2 arp check enable【命令】arp check enableundo arp check enable【视图】系统视图【参数】⽆【描述】arp check enable命令⽤来开启ARP表项的检查功能。
undo arp check enable 命令⽤来关闭ARP表项的检查功能。
开启ARP表项检查功能后，若交换机接收到的ARP报⽂中的源MAC地址为组播MAC，则不进⾏动态ARP表项的学习；且交换机上不能配置MAC地址为组播MAC 的静态ARP表项，否则会有错误提⽰。
关闭ARP表项检查功能后，可以对源MAC地址为组播MAC的ARP表项进⾏学习，且可以配置MAC地址为组播MAC的静态ARP表项。
缺省情况下，开启ARP表项的检查功能。
【举例】# 关闭ARP表项的检查功能。
system-viewSystem View: return to User View with Ctrl+Z.[Sysname] undo arp check enable1.1.3 arp detection enable【命令】arp detection enableundo arp detection enable【视图】VLAN视图【参数】⽆【描述】arp detection enable命令⽤来开启指定VLAN内所有端⼝的ARP⼊侵检测功能，即对该VLAN内端⼝收到的ARP报⽂的源IP地址、源MAC地址、接收ARP报⽂的端⼝编号以及端⼝所在VLAN的对应关系进⾏检测。
arpr使用方法
arpr使用方法ARPR使用方法ARPR（Address Resolution Protocol Reverse）是一种用于在局域网中将IP地址解析为对应MAC地址的协议。
它在ARP协议的基础上进行了改进和扩展，可以更加高效地进行地址解析。
本文将介绍ARPR的使用方法，帮助读者更好地理解和应用该协议。
一、ARPR的作用和原理ARPR的作用是在局域网中实现IP地址到MAC地址的映射关系，使得数据包能够准确地传输到目标计算机。
它通过在局域网中广播一个ARP请求包，请求目标计算机返回其MAC地址。
目标计算机收到请求后，会将自己的MAC地址封装在ARP应答包中返回给源计算机，完成地址解析。
二、ARPR的配置步骤1. 安装ARPR软件：首先需要在计算机上安装ARPR软件，可以通过官方网站或者其他合法渠道下载并安装。
2. 打开ARPR软件：安装完成后，双击ARPR的图标或者在应用程序中找到ARPR并打开。
3. 配置网络接口：在ARPR的界面中，选择需要进行地址解析的网络接口，一般是以太网接口。
点击“配置”按钮进入配置页面。
4. 启用ARPR：在配置页面中，找到“启用ARPR”选项，勾选该选项以启用ARPR功能。
5. 设置IP地址范围：在配置页面中，可以设置需要进行地址解析的IP地址范围。
一般情况下，可以选择局域网内的所有IP地址。
6. 开始地址解析：配置完成后，点击“开始解析”按钮，ARPR将开始在指定的IP地址范围内进行地址解析。
三、ARPR的使用技巧1. 检测IP地址冲突：ARPR可以用于检测局域网内的IP地址冲突，当两台计算机拥有相同的IP地址时，ARPR会发现地址冲突并给出警告。
2. 追踪网络流量：ARPR可以将局域网内的网络流量进行监控和追踪，帮助管理员了解网络中各个计算机的通信情况。
3. 安全审计：ARPR可以记录和分析局域网内的通信数据，帮助管理员进行安全审计，发现潜在的安全风险。
4. 防止ARP欺骗：ARPR可以检测和防止ARP欺骗攻击，保护局域网内的计算机免受恶意攻击。
华为路由器 配置ARP
华为路由器配置ARP华为路由器配置ARP1、简介本文档介绍了如何配置华为路由器的ARP（地质解析协议）功能。
ARP是一种网络协议，用于将IP地质映射到MAC地质，以实现本地网络设备之间的通信。
2、确认网络拓扑在开始配置ARP之前，需要确认网络拓扑，以确定各设备之间的连接方式和IP地质分配情况。
3、配置基本网络参数首先，通过命令行界面（CLI）或Web界面登录路由器，并进入系统视图。
3.1 设置路由器主机名在系统视图下，使用以下命令设置路由器的主机名：hostname [主机名]3.2 设置IP地质使用以下命令设置路由器的IP地质：interface [接口名称]ip address [IP地质] [子网掩码]3.3 启动接口使用以下命令启动接口：interface [接口名称]undo shutdown4、配置ARP表项在确认网络拓扑后，可以开始配置路由器的ARP表项。
4.1 添加静态ARP表项对于已知的设备，可以手动添加静态ARP表项来加速地质解析过程。
使用以下命令添加静态ARP表项：arp static [IP地质] [MAC地质] interface [接口名称]4.2 添加动态ARP表项对于未知的设备，路由器可以自动添加动态ARP表项。
可以通过以下命令开启ARP动态学习功能：arp learning enable5、配置静态ARP高速缓存为了提高ARP表项的查找速度，可以配置静态ARP高速缓存。
使用以下命令配置静态ARP高速缓存：arp cache enable6、配置ARP缓存超时时间为了控制ARP缓存中的表项有效期，可以配置ARP缓存超时时间。
使用以下命令配置ARP缓存超时时间：arp cache timeout [超时时间]7、配置ARP请求重试次数为了提高地质解析的成功率，可以配置ARP请求的重试次数。
使用以下命令配置ARP请求重试次数：arp retry [重试次数]8、保存配置并重启路由器完成上述配置后，使用以下命令保存配置并重启路由器：savereboot本文档涉及附件：无本文所涉及的法律名词及注释：无。
华为配置静态ARP
配置静态ARP示例图1 配置静态ARP组网图静态ARP简介静态ARP表项是指网络管理员手工建立IP地址和MAC地址之间固定的映射关系。
正常情况下网络中设备可以通过ARP协议进行ARP表项的动态学习，生成的动态ARP表项可以被老化，可以被更新。
但是当网络中存在ARP攻击时，设备中动态ARP表项可能会被更新成错误的ARP表项，或者被老化，造成合法用户通信异常。
静态ARP表项不会被老化，也不会被动态ARP表项覆盖，可以保证网络通信的安全性。
静态ARP表项可以限制本端设备和指定IP地址的对端设备通信时只使用指定的MAC地址，此时攻击报文无法修改本端设备的ARP表中IP地址和MAC地址的映射关系，从而保护了本端设备和对端设备间的正常通信。
一般在网关设备上配置静态ARP表项。
对于以下场景，用户可以配置静态ARP表项。
•对于网络中的重要设备，如服务器等，可以在交换机上配置静态ARP表项。
这样可以避免交换机上重要设备IP地址对应的ARP表项被ARP攻击报文错误更新，从而保证用户与重要设备之间正常通信。
•当网络中用户设备的MAC地址为组播MAC地址时，可以在交换机上配置静态ARP表项。
缺省情况下，设备收到源MAC地址为组播MAC地址的ARP报文时不会进行ARP学习。
•当希望禁止某个IP地址访问设备时，可以在交换机上配置静态ARP表项，将该IP地址与一个不存在的MAC地址进行绑定。
配置注意事项•设备上配置的静态ARP表项数目不能大于设备静态ARP表项规格，可以执行命令display arp statistics all查看设备上已有的ARP表项数目。
•本举例适用于S系列交换机所有产品的所有版本。
如需了解交换机软件配套详细信息，请点击Info-Finder，在选择产品系列或产品型号后，在“硬件中心”进行查询。
S5731-L和S5731S-L属于远端模块，不支持Web管理、YANG和命令行，仅支持通过中心交换机对其下发配置，相关操作请参见《S300, S500, S2700,S5700, S6700 V200R021C10 配置指南-设备管理》中的“极简架构配置（小行星方案）”。
02-ARP配置
目录第1章 ARP配置.....................................................................................................................1-11.1 ARP简介............................................................................................................................1-11.1.1 ARP作用..................................................................................................................1-11.1.2 ARP报文结构...........................................................................................................1-11.1.3 ARP地址解析过程...................................................................................................1-21.1.4 ARP表.....................................................................................................................1-31.2 配置ARP............................................................................................................................1-31.2.1 手工添加静态ARP表项............................................................................................1-31.2.2 配置VLAN接口学习动态ARP表项的最大数目.........................................................1-41.2.3 配置动态ARP表项的老化时间.................................................................................1-41.2.4 使能ARP表项的检查功能........................................................................................1-41.2.5 使能支持自然网段的ARP请求.................................................................................1-51.2.6 ARP配置举例...........................................................................................................1-51.3 配置免费ARP.....................................................................................................................1-61.3.1 免费ARP简介...........................................................................................................1-61.3.2 配置免费ARP...........................................................................................................1-71.4 ARP显示和维护..................................................................................................................1-7第2章代理ARP配置..............................................................................................................2-12.1 代理ARP简介.....................................................................................................................2-12.2 配置代理ARP功能..............................................................................................................2-12.3 代理ARP显示和维护..........................................................................................................2-12.4 代理ARP典型配置举例.......................................................................................................2-22.4.1 代理ARP配置举例...................................................................................................2-22.4.2 端口隔离时的本地代理ARP配置举例......................................................................2-32.4.3 Super VLAN中的本地代理ARP配置举例.................................................................2-42.4.4 Isolate-user-vlan中的本地代理ARP配置举例..........................................................2-5第3章 ARP攻击防御配置.......................................................................................................3-13.1 配置ARP源抑制功能..........................................................................................................3-13.1.1 ARP源抑制功能简介................................................................................................3-13.1.2 配置ARP源抑制.......................................................................................................3-13.1.3 ARP源抑制显示和维护............................................................................................3-13.2 配置ARP防IP报文攻击功能................................................................................................3-23.2.1 ARP防IP报文攻击功能介绍.....................................................................................3-23.2.2 启用ARP防IP报文攻击功能.....................................................................................3-23.3 配置ARP Detection功能.....................................................................................................3-33.3.1 ARP Detection功能介绍..........................................................................................3-3 3.3.2 配置ARP Detection功能..........................................................................................3-4 3.3.3 ARP Detection显示和维护.......................................................................................3-5 3.3.4 ARP Detection典型配置举例...................................................................................3-6第1章 ARP配置1.1 ARP简介1.1.1 ARP作用ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为数据链路层地址的协议。
华为路由器 配置ARP
文档版本 04 (2008-01-25)
华为技术有限公司
i
插图目录
Quidway Eudemon 100/100E/200/200S 配置指南 网际互联分册
插图目录
图 9-1 代理 ARP 的应用...................................................................................................................................9-2
图9-1 代理 ARP 的应用
管理员规定 该网络使用： 172.16.2.0
HOST A IP:172.16.2.2
(1)ARP REQUEST 172.16.4.4
Internet 1 IP:172.16.2.3 MAC:3333.3333.3333
Internet
(2)ARP REPLY
Router A
9.3 配置静态 ARP .............................................................................................................................................9-5 9.3.1 建立配置任务.....................................................................................................................................9-5 9.3.2 添加静态 ARP 表项...........................................................................................................................9-5 9.3.3 检查配置结果.....................................................................................................................................9-6
H3C配置命令22-arp命令
【举例】 # 开启 VLAN 2 接口的 ARP 代理。
<H3C>system-view System View: return to User View with Ctrl+Z. [H3C]interface Vlan-interface 2 [H3C-Vlan-interface2] arp proxy enable
【举例】 # 设置以太网端口 GE 3/0/1 的 ARP 动态学习数量限制为 6000。
<H3C> system-view System View: return to User View with Ctrl+Z. [H3C] interface GigabitEthernet 3/0/1 [H3C GigabitEthernet3/0/1] arp max-dynamic-entry 6000
【举例】 # 设置 ARP 总数量限制为 4096。
<H3C> system-view System View: return to User View with Ctrl+Z. [H3C] arp max-entry 4096
1.1.3 arp max-dynamic-entry
【命令】 arp max-dynamic-entry number undo arp max-dynamic-entry number
1-2
H3C S7500 系列以太网交换机 命令手册 ARP
1.1.4 arp proxy enable
第 1 章 ARP 配置
【命令】 arp proxy enable undo arp proxy enable
【视图】 VLAN 接口视图
【参数】 无
华为交换机 01-02 ARP配置
缺省情况下，动态ARP表项的老化探测次数为3次。 步骤5 执行命令arp detect-mode unicast，配置接口以单播方式发送ARP老化探测报文。
静态ARP表项不会被老化， 不会被动态ARP表项覆盖， 只能通过手工配置和维护。
说明 静态ARP可以提高网络通信的 安全性，但是如果有大量的表 项，将增加配置和维护的成 本。
应用场景
动态ARP表项由ARP协议通 过ARP报文自动生成和维 护。
对于网络中重要设备，如服 务器等，可以在设备上将与 其通信的成员的IP地址和 MAC地址映射关系配置为静 态ARP表项。这种静态映射 关系不会被伪造的ARP报文 动态改写，从而避免服务器 等设备受到网络攻击。
说明
配置静态ARP表项虽然可以保护ARP表不被改写，但是配置工作量大，不适用于主机IP地址可能 发生更改的网络环境，建议在比较小的网络里使用。
操作步骤
步骤1 执行命令system-view，进入系统视图。
文档版本 07 (2020-04-15)
版权所有 © 华为技术有限公司
12
S2700, S3700 系列以太网交换机 配置指南-IP 业务
2 ARP 配置
2 ARP 配置
关于本章
ARP（Address Resolution Protocol）是一种地址解析协议。通过ARP协议，建立IP地 址与MAC地址之间的映射，实现以太网数据帧在物理网络中的传送。
2.1 ARP概述 ARP提供了一种将IP地址解析为MAC地址的解析机制，是以太网通信的基础。
arp典型配置
1.5 ARP典型配置举例1.5.1 ARP基本配置举例1. 组网需求●关闭ARP表项检查功能。
●设置交换机上动态ARP表项的老化时间为10分钟。
●增加一个静态ARP表项，IP地址为192.168.1.1，对应的MAC地址为000f-e201-0000，对应的出端口为属于VLAN 1的端口GigabitEthernet1/0/10。
2. 配置步骤<H3C> system-view[H3C] undo arp check enable[H3C] arp timer aging 10[H3C] arp static 192.168.1.1 000f-e201-0000 1 GigabitEthernet1/0/10 1.5.2 ARP入侵检测配置举例1. 组网需求如图1-4所示，Switch A的端口GigabitEthernet1/0/1连接DHCP服务器，端口GigabitEthernet1/0/2和GigabitEthernet1/0/3分别连接Client A和Client B，且三个端口都属于VLAN 1。
●开启交换机的DHCP Snooping功能，并设置端口GigabitEthernet1/0/1为DHCP Snooping信任端口。
●为防止ARP中间人攻击，配置VLAN 1的ARP入侵检测功能，设置Switch 的端口GigabitEthernet1/0/1为ARP信任端口；2. 典型组网图图1-4 配置ARP入侵检测组网图3. 配置步骤# 开启交换机DHCP Snooping功能。
<SwitchA> system-view[SwitchA] dhcp-snooping# 设置端口GigabitEthernet1/0/1为DHCP Snooping信任端口，ARP信任端口。
[SwitchA] interface GigabitEthernet1/0/1[SwitchA-GigabitEthernet1/0/1] dhcp-snooping trust[SwitchA-GigabitEthernet1/0/1] arp detection trust[SwitchA-GigabitEthernet1/0/1] quit# 开启VLAN 1内所有端口的ARP入侵检测功能。
01-11 配置ARPARP Proxy
MA5680T配置指南11 配置ARP/ARP Proxy11配置ARP/ARP Proxy 关于本章介绍了MA5680T中ARP和ARP Proxy的原理及其相关配置。
本文档介绍MA5680T设备的配置，先进行业务的概述，再以一个或多个实例介绍业务的配置过程，最后对常用的单个功能进行详细描述，对MA5680T设备有一定了解的读者建议直接阅读配置实例，对MA5680T设备不熟悉的读者建议先阅读单个功能的描述。
11.1 ARP概述简要介绍ARP Proxy业务描述和业务规格。
11.2 配置ARP Proxy实例通过本实例配置ARP Proxy，实现在同一个广播域但被隔离的端口或不同的广播域的端口之间的通信，需要在三层接口上启动ARP Proxy功能，为了不造成网络负担，ARP的请求报文被限制在一个VLAN内。
11.3 配置静态ARP表项通过本任务配置指定IP地址与MAC地址的静态映射关系，即添加静态ARP表项。
11.4 使能ARP Proxy功能通过本任务实现使能ARP Proxy功能，实现在同一个广播域但被隔离的端口或不同的广播域的端口之间的通信，需要在三层接口上启动ARP Proxy功能。
11.1 ARP 概述简要介绍ARP Proxy 业务描述和业务规格。
业务描述网络上的两台计算机需要通信时，双方必须知道对方的物理地址，即MAC 地址。
因为IP 地址只是计算机在网络层中的地址，若要将网络层数据报文传送给目的计算机，必须知道目的计算机的物理地址，因此必须将IP 地址解析为MAC 地址。
ARP （Address Resolution Protocol ）就是用来将IP 地址解析为MAC 地址的协议。
通过配置ARP Proxy 与Super VLAN ，可以实现二层隔离的两台计算机之间的三层互通。
ARP Proxy 特性的详细介绍请参见“MA5680T 特性描述”中的“ARP Proxy ”。
业务规格MA5680T 对ARP 表项既可以动态维护，也可以手工维护；同时支持ARP Proxy 功能。
2-ARP及交换机配置交流
15
预防措施
1，及时升级客户端的操作系统和应用程式补丁； 2，安装和更新杀毒软件。 3，如果网络规模较少，尽量使用手动指定IP 设置，而不
是使用 DHCP 来分配IP 地址。
4，如果交换机支持，在交换机上绑定MAC 地址与IP 地 址。（不过这个实在不是好主意）
10
ARP攻击临时处理对策 步骤2续
手工绑定的命令为： arp –s 218.197.192.254 00-01-02-03-04-05 。 绑定完，可再用arp –a查看arp缓存，如下： C:\Documents and Settings>arp -a
Interface: 218.197.192.1 --- 0x2
9
ARP攻击临时处理对策 步骤2
2. 如果已经有网关的正确MAC地址，在不能上网时，手动将网关IP和正 确MAC绑定，可确保计算机不再被攻击影响。手工绑定可在MSDOS窗口下运行以下 命令： arp –s 网关IP 网关MAC 例如：假设 计算机所处网段的网关为218.197.192.254，本机地址为 218.197.192.1在计算机上运行arp –a后输出如下： C:\Documents and Settings>arp -a Interface: 218.197.192.1 --- 0x2 Internet Address 218.197.192.254 Physical Address 00-01-02-03-04-05 Type dynamic
访问外网
IP Address 1.1.1.5 MAC 3-3-3 Type Dynamic
已更新
ARP表项更新为 IP Address 1.1.1.5 MAC 2-2-2 Type Dynamic IP Address G 1.1.1.1 MAC G 1-1-1
ARP 攻击防御配置
ARP 攻击防御配置ARP 协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。
目前ARP 攻击和ARP 病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行检测和解决。
下面将详细介绍一下这些技术的原理以及配置。
3.1 配置ARP 源抑制功能3.1.1 ARP 源抑制功能简介如果网络中有主机通过向设备发送大量目标IP 地址不能解析的IP 报文来攻击设备，则会造成下面的危害：设备向目的网段发送大量ARP 请求报文，加重目的网段的负载。
设备会不断解析目标IP 地址，增加了CPU 的负担。
为避免这种攻击所带来的危害，设备提供了ARP 源抑制功能。
开启该功能后，如果网络中某主机向设备某端口连续发送目标IP 地址不能解析的IP 报文（当每5 秒内的ARP 请求报文的流量超过设置的阈值），对于由此IP 地址发出的IP 报文，设备不允许其触发ARP 请求，直至5 秒后再处理，从而避免了恶意攻击所造成的危害。
3.1.2 配置ARP 源抑制表3-1 配置ARP 源抑制操作命令说明进入系统视图system-view -使能ARP 源抑制功能arp source-suppression enable必选缺省情况下，关闭ARP 源抑制功能配置ARP 源抑制的阈值arp source-suppression limitlimit-value可选缺省情况下，ARP 源抑制的阈值为103.1.3 ARP 源抑制显示和维护在完成上述配置后，在任意视图下执行display 命令可以显示配置后ARP 源抑制的运行情况，通过查看显示信息验证配置的效果。
表3-2 ARP 源抑制显示和维护操作命令显示ARP 源抑制的配置信息display arp source-suppression3-23.2 配置ARP 防IP 报文攻击功能3.2.1 ARP 防IP 报文攻击功能介绍在进行IP 报文转发过程中，设备需要依靠ARP 解析下一跳IP 地址的MAC 地址。
交换机ARP和端口配置
网关
192.168.0.254 001a.a908.9f0b 192.168.0.1 00d0.f800.0001 192.168.0.2 00d0.f800.0002
PC1
PC2
8
ARP表变化-ARP Request
• ARP Request报文更新ARP表的条件
ARP报文中Target IP为自己 用ARP报文中的Sender MAC与Sender IP更新自己的ARP 表
192.168.0.2 00d0.f800.0002
10
ARP表变化- Gratuitous ARP
• Gratuitous ARP报文更新ARP表的条件
Gratuitous ARP是一种特殊的ARP Request/Replay报文，即Sender IP与 Target IP一致 ARP报文中Target IP为自己 用ARP报文中的Sender MAC与Sender IP更新自己的ARP表 网关
6
课程内容
• • • • 第一章： 第一章：ARP协议原理 协议原理 第二章： 第二章：ARP欺骗攻击概述 欺骗攻击概述 第三章：常见ARP欺骗“应付”手段 欺骗“ 第三章：常见 欺骗 应付” 第四章：锐捷网络ARP欺骗解决方案 第四章：锐捷网络ARP欺骗解决方案
7
正常情况下的ARP表
PC与设备之间相互通信后形成的ARP表
25
两个概念
• 安全地址
主机真实的IP与MAC地址 在主机发送ARP报文前获得
• ARP报文校验
检查ARP报文中Sender’s MAC与安全地址中的MAC是否一 致，否则丢弃 检查ARP报文中Sender’s IP与安全地址中的IP是否一致， 否则丢弃