华为S9300核心交换机ARP安全配置（二）

 

http://luciffer.blog.51cto.com/863671/460195

具体的配置

一、应用环境：

     在以太城域网中，存在着很多针对ARP 表项的攻击，因此需要在网络的接入层或者汇
聚层配置防止对ARP 表项的攻击，以保护网络的安全性。

二、配置严格学习ARP 表项

操作步骤
步骤1 执行命令system-view，进入系统视图。
步骤2 执行命令arp learning strict，配置严格学习ARP 表项。
缺省情况下，S9300 未使能严格学习ARP 表项功能。
三、配置基于接口的ARP 表项限制
操作步骤
步骤1 执行命令system-view，进入系统视图。
步骤2 执行命令interface interface-type interface-number，进入接口视图。
这里的接口可以是GE 接口、Eth-Trunk 接口或VLANIF 接口。
步骤3 执行命令arp-limit [ vlan vlan-id [ to vlan-id2 ]] maximum maximum，配置基于接口的
ARP 表项限制。
vlan 选项只能在GE 接口或Eth-Trunk 接口视图下配置。
四、配置防止ARP 地址欺骗
操作步骤
步骤1 执行命令system-view，进入系统视图。
步骤2 执行命令arp anti-attack entry-check { fixed-mac | fixed-all | send-ack } enable，使能ARP
地址防欺骗功能。
只能同时使能一种ARP 地址防欺骗方式。如果原来使能了另外一种方式，则新配置的
方式覆盖原来配置的方式。缺省情况下，S9300 未使能ARP 地址防欺骗功能。
五、配置防止ARP 网关冲突
操作步骤
步骤1 执行命令system-view，进入系统视图。
步骤2 执行命令arp anti-attack gateway-duplicate enable，使能ARP 网关冲突防攻击功能。
 六、配置ARP 报文源抑制功能
背景信息
为防止大量的ARP 报文增加CPU 的负荷，以及占用大量的ARP 表项，可以配置ARP
报文速率抑制，将上送主控板处理的ARP 报文速率限制在一个合理的范围内。
考虑到某些特定的用户有特别的需求，对于该用户的IP 地址可以配置不同于其他IP 地
址的ARP 报文抑制速率。
操作步骤
步骤1 执行命令system-view，进入系统视图。
步骤2 执行命令arp speed-limit source-ip maximum maximum，配置ARP 报文源抑制速率。
步骤3 （可选）执行命令arp speed-limit source-ip ip-address maximum maximum，配置指定
source-ip 用户的ARP 报文源抑制速率。
完成上述配置后，对指定了source-ip 的用户，ARP 报文源抑制速率为步骤3 中配置的
maximum 值；其它IP 地址的ARP 报文源抑制速率为步骤2 中配置的maximum 值。
如果将速率配置为0，则表示不作ARP 报文源抑制。缺省情况下，所有IP 地址的ARP
报文源抑制速率为500pps。
七、配置ARP Miss 消息源抑制功能
背景信息
为防止主机发送大量目标IP 地址不能解析的IP 报文来攻击设备，可以配置ARP Miss
源抑制功能，对攻击者的报文进行丢弃处理。
考虑到某些特定的用户有特别的需求，对于该用户的IP 地址可以配置不同于其他IP 地
址的ARP Miss 抑制速率。
操作步骤
步骤1 执行命令system-view，进入系统视图。
步骤2 执行命令arp-miss speed-limit source-ip maximum maximum，配置ARP Miss 消息源抑
制速率。
步骤3 （可选）执行命令arp-miss speed-limit source-ip ip-address maximum maximum，配置指
定source-ip 用户的ARP Miss 源抑制速率。
完成上述配置后，对指定了source-ip 的用户，ARP Miss 源抑制速率为步骤3 中配置的
maximum 值；其它IP 地址的ARP Miss 源抑制速率为步骤2 中配置的maximum 值。
如果将速率配置为0，则表示不作ARP Miss 源抑制。缺省情况下，所有IP 地址的ARP
Miss 源抑制速率为500pps。
八、配置对潜在的ARP 攻击行为写日志和发送告警
操作步骤
步骤1 执行命令system-view，进入系统视图。
步骤2 执行命令arp anti-attack log-trap-timer time，配置对潜在的攻击行为写日志和发送告
警。
time 为写ARP 日志和发送告警时间间隔。缺省情况下该值为0，表示未使能写ARP 日
志和发送告警功能。
九、配置检查配置结果
前提条件
已完成ARP 防攻击配置。
操作步骤
使用命令display arp learning strict 查看ARP 表项严格学习限制。
 使用命令display arp anti-attack configuration { entry-check | gateway-duplicate |
log-trap-timer | arp-speed-limit | arpmiss-speed-limit | all }查看当前ARP 防攻击配
置。
使用命令display arp-limit [ interface interface-type interface-number ] [ vlan vlan-id ]
查看接口或VLAN 下配置的ARP 表项限制数目。
使用命令display arp anti-attack gateway-duplicate item 查看当前网络中存在的网
关地址冲突攻击信息。