华为交换机 01-02 ARP配置

2.5 优化动态 ARP
ARP表项动态学习是主机和交换机本身就具有的功能，并且设备的缺省状态即为ARP表 项动态学习，不需要使用命令启动此功能。但根据网络需要，用户可以调整动态ARP 的一些参数。
前置任务
在优化动态ARP之前，需完成以下任务： ● 配置接口的链路层协议参数，使接口的链路协议状态为Up。
2.2 设备支持的 ARP 特性
ARP可以分为静态和动态两种。设备还支持一些扩展ARP的应用，比如Proxy ARP、出 口ARP检测EAI(Egress ARP Inspection)功能以及配置IP地址冲突检测功能。
动态 ARP 和静态 ARP 对比
ARP表项分为动态ARP表项和静态ARP表项。动态ARP和静态ARP的概念、表项生成与 维护情况和应用场景如表2-1所示。
该场景存在这样一个问题：当SwitchB接收到ARP请求报文时，SwitchB会在整个VLAN 内广播该ARP请求报文，增大了该VLAN内的网络负荷。
图 2-1 EAI 功能组网图 SwitchA
DHCP Server SwitchB
VLAN2 VLANIF 2 10.10.10.12/24
UserC
S2700, S3700 系列以太网交换机 配置指南-IP 业务
2 ARP 配置
2 ARP 配置
关于本章
ARP（Address Resolution Protocol）是一种地址解析协议。通过ARP协议，建立IP地 址与MAC地址之间的映射，实现以太网数据帧在物理网络中的传送。
2.1 ARP概述 ARP提供了一种将IP地址解析为MAC地址的解析机制，是以太网通信的基础。
表 2-1 动态 ARP 与静态 ARP 对比表
特性 概念
表项生成与维护情况
动态 ARP
设备通过ARP 协议自动生 成和维护ARP 表项。
● 动态ARP表项可以被老 化，可以被新的ARP报文 更新，可以被静态ARP表 项覆盖。
● ARP表项缺省学习方式为 动态学习，动态维护。
静态 ARP
静态ARP表项 是指通过手 动配置，建 立IP地址和 MAC地址之 间固定的映 射关系。
2.5 优化动态ARP ARP表项动态学习是主机和交换机本身就具有的功能，并且设备的缺省状态即为ARP表 项动态学习，不需要使用命令启动此功能。但根据网络需要，用户可以调整动态ARP 的一些参数。
2.6 配置Proxy ARP 交换机可以作为ARP请求中目标主机的代理，代为回答一些特殊情况下不可达的ARP请 求。
2.5.1 调整动态 ARP 的老化参数
背景信息
ARP老化参数包括老化超时时间、老化探测次数和老化探测模式。合理的调整老化参 数，可以提高网络可靠性。
调整动态ARP参数主要是调整以下参数：
● 调整动态ARP表项的老化时间，当表项到达老化时间时，设备向表项对应的出接 口发送ARP请求报文，同时启动表项探测功能。如果ARP表项的老化时间设置太 小，会使得ARP请求报文的发送太过频繁，建议使用默认的老化时间，即20分 钟。
2 ARP 配置
步骤2 执行命令arp static ip-address mac-address [ vpn-instance vpn-instance-name [ vid vlan-id ] ]或者执行命令arp static ip-address mac-address vid vlan-id [ interface interface-type interface-number ]，配置静态ARP表项。
● VLAN间Proxy ARP：主要用于实 现属于不同VLAN或者不同SubVLAN间但在同一网段的网络设备 的互通。
出口ARP检测EAI（Egress ARP Inspection）功能
如图2-1所示，SwitchB上行连接三层交换机SwitchA（DHCP Server），下挂用户主 机。各用户主机同属于VLAN2，并通过DHCP方式获取IP地址。
● 调整动态ARP表项的老化探测次数，即在将一个动态ARP表项被老化删除之前，系 统需要进行探测，如果超过设置的探测次数后设备仍没有收到应答来刷新此表 项，则此ARP表项将被删除。
● 调整动态ARP表项的老化探测模式，ARP表项老化之前，接口会发送ARP老化探测 报文。
说明
● 当对端设备的IP地址不变化而MAC地址频繁更新时，建议使用广播模式发送ARP老化探 测报文。
缺省情况下，接口以广播方式发送ARP老化探测报文。 ----结束
2.5.2 使能 ARP 抑制功能
背景信息
在特殊组网或者遭受到ARP攻击时，系统在同一时间内会接收到多个源IP地址相同的 ARP报文，这就需要系统对ARP表项进行重复更新。为了维护系统性能，系统可以启动 ARP抑制功能，即在1s内收到多次源IP地址相同的ARP报文，系统将只通知发送ARP报 文的设备已收到ARP报文，而不更新设备的ARP表。
文档版本 07 (2020-04-15)
版权所有 © 华为技术有限公司
11
S2700, S3700 系列以太网交换机 配置指南-IP 业务
2 ARP 配置
ARP-CPCAR 注意事项
CPCAR通过对上送控制平面的不同业务的协议报文分别进行限速，来保护控制平面的 安全。设备针对每类协议报文都有缺省的CPCAR值，部分协议报文的CPCAR值需要根 据实际业务规模和具体的用户网络环境进行调整。
调整CPCAR不当将会影响网络业务，如果需要调整ARP请求报文和ARP应答报文的 CPCAR，建议联系华为工程师处理。
说明
采用缺省CPCAR值情况下，建议S2700和S3700EI上每秒发送88个ARP Request报文或者ARP Reply报文。
2.3 缺省配置
介绍ARP相关参数的缺省配置。 ARP的缺省配置如表2-3所示。
2.7 配置出口ARP检测功能 配置出口ARP检测功能，设备可以限制ARP报文的转发范围，防止ARP报文在VLAN内 广播，减小了VLAN内的网络负荷。
2.8 配置IP地址冲突检测功能 配置IP地址冲突检测功能，设备可以通过ARP报文检测网络中存在的IP地址冲突。
2.9 维护ARP 维护ARP包括清除ARP表项、监控ARP运行状况。
2.2 设备支持的ARP特性 ARP可以分为静态和动态两种。设备还支持一些扩展ARP的应用，比如Proxy ARP、出 口ARP检测EAI(Egress ARP Inspection)功能以及配置IP地址冲突检测功能。
2.3 缺省配置 介绍ARP相关参数的缺省配置。
2.4 配置静态ARP 配置静态ARP表项可以增加通信的安全性。
操作步骤
步骤1 执行命令system-view，进入系统视图。 步骤2 执行命令arp-suppress enable，使能当前设备上的ARP抑制功能。
缺省情况下，ARP抑制功能关闭，只对VLANIF进行抑制。 ----结束
ARP 支持的扩展应用
ARP还支持扩展应用，如表2-2所示。
文档版本 07 (2020-04-15)
版权所有 © 华为技术有限公司
10
S2700, S3700 系列以太网交换机 配置指南-IP 业务
2 ARP 配置
表 2-2 ARP 支持的其他扩展应用功能及其应用场景
功能
概念
应用场景
Proxy ARP
缺省情况下，动态ARP表项的老化超时时间为1200秒，即20分钟。 步骤4 执行命令arp detect-times detect-times，设置动态ARP表项的老化探测次数。
缺省情况下，动态ARP表项的老化探测次数为3次。 步骤5 执行命令arp detect-mode unicast，配置接口以单播方式发送ARP老化探测报文。
● 当对端设备MAC地址不变，当前网络带宽资源特别紧缺，建议使用单播模式发送ARP老 化探测报文。
文档版本 07 (2020-04-15)
版权所有 © 华为技术有限公司
13
S2700, S3700 系列以太网交换机 配置指南-IP 业务
2 ARP 配置
操作步骤
步骤1 执行命令system-view，进入系统视图。 步骤2 执行命令interface interface-type interface-number，进入接口视图。 步骤3 执行命令arp expire-time expire-time，设置动态ARP表项的老化超时时间。
----结束
检查配置结果
完成配置后，可以按以下指导来检查配置结果。
● 执行命令display arp vpn-instance vpn-instance-name [ dynamic | static ]， 基于VPN实例查看ARP映射表。
● 执行命令display arp static，查看静态ARP映射表。
当主机或其它网络设备有数据要发送给另一个主机或设备时，它需要知道对方的网络 层地址（即IP地址）。但是仅有IP地址是不够的，IP数据报文必须封装成帧才能通过物 理网络发送，因此发送方还必须有接收方的物理地址，这就需要一个从IP地址到物理 地址的映射。地址解析协议ARP（Address Resolution Protocol）可以将IP地址解析为 MAC地址。
交换机可以作为ARP请求 中目标主机的代理，代 为回答一些特殊情况下 不可达的ARP请求。
Proxy ARP可以分为三种：
● 路由式Proxy ARP：主要用于使IP 地址属于同一网段却不属于同一物 理网络的设备能够相互通信。
● VLAN内Proxy ARP：主要用于同 一VLAN内被隔离的网络设备间的 互通。
UserB 10.10.10.0/24
VLAN2
UserA
为了解决上述问题，设备提供了EAI功能，该功能需要与DHCP Snooping功能配合使 用。在SwitchB的VLAN2里部署EAI功能后，SwitchB会利用ARP请求报文的目的IP地址 匹配DHCP Snooping动态绑定表来确定该报文的出接口。如果存在该ARP报文的目的 IP地址匹配的表项，则直接将ARP报文发至该绑定关系的出接口（当匹配的是静态绑定 关系表时，由于静态绑定关系表可能未指定出接口，则SwitchB使用该绑定关系中的 MAC地址查询动态MAC表获取出接口），否则将其转发至信任接口或者丢弃该ARP报 文。