华为S9300核心交换机ARP安全配置
华为S9300核心交换机ARP安全配置（二）
http://luciffer.blog.51cto.com/863671/460195
具体的配置
一、应用环境：
在以太城域网中，存在着很多针对ARP 表项的攻击，因此需要在网络的接入层或者汇
聚层配置防止对ARP 表项的攻击，以保护网络的安全性。
二、配置严格学习ARP 表项
操作步骤
步骤
1 执行命令
system-view，进入系统视图。
步骤
2 执行命令
arp learning strict，配置严格学习ARP 表项。
缺省情况下，S9300 未使能严格学习ARP 表项功能。
三、配置基于接口的
ARP 表项限制
操作步骤
步骤
1 执行命令
system-view，进入系统视图。
步骤
2 执行命令
interface
interface-type interface-number，进入接口视图。
这里的接口可以是GE 接口、Eth-Trunk 接口或VLANIF 接口。
步骤
3 执行命令
arp-limit [
vlan
vlan-id [
to
vlan-id2 ]]
maximum
maximum，配置基于接口的
ARP 表项限制。
vlan 选项只能在GE 接口或Eth-Trunk 接口视图下配置。
四、配置防止
ARP 地址欺骗
操作步骤
步骤
1 执行命令
system-view，进入系统视图。
步骤
2 执行命令
arp anti-attack entry-check {
fixed-mac |
fixed-all |
send-ack }
enable，使能ARP
地址防欺骗功能。
只能同时使能一种ARP 地址防欺骗方式。如果原来使能了另外一种方式，则新配置的
方式覆盖原来配置的方式。缺省情况下，S9300 未使能ARP 地址防欺骗功能。
五、配置防止
ARP 网关冲突
操作步骤
步骤
1 执行命令
system-view，进入系统视图。
步骤
2 执行命令
arp anti-attack gateway-duplicate enable，使能ARP 网关冲突防攻击功能。
六、配置
ARP 报文源抑制功能
背景信息
为防止大量的ARP 报文增加CPU 的负荷，以及占用大量的ARP 表项，可以配置ARP
报文速率抑制，将上送主控板处理的ARP 报文速率限制在一个合理的范围内。
考虑到某些特定的用户有特别的需求，对于该用户的IP 地址可以配置不同于其他IP 地
址的ARP 报文抑制速率。
操作步骤
步骤
1 执行命令
system-view，进入系统视图。
步骤
2 执行命令
arp speed-limit source-ip maximum
maximum，配置ARP 报文源抑制速率。
步骤
3 （可选）执行命令
arp speed-limit source-ip
ip-address
maximum
maximum，配置指定
source-ip 用户的ARP 报文源抑制速率。
完成上述配置后，对指定了
source-ip 的用户，ARP 报文源抑制速率为步骤3 中配置的
maximum 值；其它IP 地址的ARP 报文源抑制速率为步骤2 中配置的
maximum 值。
如果将速率配置为0，则表示不作ARP 报文源抑制。缺省情况下，所有IP 地址的ARP
报文源抑制速率为500pps。
七、配置
ARP Miss 消息源抑制功能
背景信息
为防止主机发送大量目标IP 地址不能解析的IP 报文来攻击设备，可以配置ARP Miss
源抑制功能，对攻击者的报文进行丢弃处理。
考虑到某些特定的用户有特别的需求，对于该用户的IP 地址可以配置不同于其他IP 地
址的ARP Miss 抑制速率。
操作步骤
步骤
1 执行命令
system-view，进入系统视图。
步骤
2 执行命令
arp-miss speed-limit source-ip maximum
maximum，配置ARP Miss 消息源抑
制速率。
步骤
3 （可选）执行命令
arp-miss speed-limit source-ip
ip-address
maximum
maximum，配置指
定
source-ip 用户的ARP Miss 源抑制速率。
完成上述配置后，对指定了
source-ip 的用户，ARP Miss 源抑制速率为步骤3 中配置的
maximum 值；其它IP 地址的ARP Miss 源抑制速率为步骤2 中配置的
maximum 值。
如果将速率配置为0，则表示不作ARP Miss 源抑制。缺省情况下，所有IP 地址的ARP
Miss 源抑制速率为500pps。
八、配置对潜在的ARP 攻击行为写日志和发送告警
操作步骤
步骤
1 执行命令
system-view，进入系统视图。
步骤
2 执行命令
arp anti-attack log-trap-timer
time，配置对潜在的攻击行为写日志和发送告
警。
time 为写ARP 日志和发送告警时间间隔。缺省情况下该值为0，表示未使能写ARP 日
志和发送告警功能。
九、配置检查配置结果
前提条件
已完成ARP 防攻击配置。
操作步骤
使用命令
display arp learning strict 查看ARP 表项严格学习限制。
使用命令
display arp anti-attack configuration {
entry-check |
gateway-duplicate |
log-trap-timer |
arp-speed-limit |
arpmiss-speed-limit |
all }查看当前ARP 防攻击配
置。
使用命令
display arp-limit [
interface
interface-type interface-number ] [
vlan
vlan-id ]
查看接口或VLAN 下配置的ARP 表项限制数目。
使用命令
display arp anti-attack gateway-duplicate item 查看当前网络中存在的网
关地址冲突攻击信息。