网络工程规划与设计案例教程教学全套课件第2版杨幸文档 文档_项目三_任务三_动态ARP检测.doc

《网络工程规划与设计案例教程教学全套课件第2版杨幸文档 文档_项目三_任务三_动态ARP检测.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、动态ARP检测1湖南工业职业技术学院网络技术专业教学资源库目录1.特性简介11.1动态ARP检测特性11.2IP过滤特性12.特性的优点12.1动态ARP检测特性优点12.2IP过滤特性优点13.版本历史记录14.使用指南14.1使用场合14.2配置步骤24.2.1动态ARP检测配置步骤24.2.2IP过滤配置步骤24.3配置举例24.3.1动态ARP检测配置举例24.3.2IP过滤配置举例34.4注意事项35.相关命令35.1ARP检测模块配置命令35.1.1配置ARP检测使能35.1.2配置ARP

2、检测信任端口功能45.1.3ARP检测调试指令45.2IP过滤模块配置命令45.2.1配置IP过滤命令45.2.2配置IP过滤调试命令55.2.3配置IP过滤静态绑定命令55.2.4显示IP地址过滤绑定表命令51.I湖南工业职业技术学院网络技术专业教学资源库1.特性简介1.1动态ARP检测特性为了防止黒客或攻击者通过ARP报文实施欺骗行为，将经过交换机的所有ARP（请求与回应）报文重定向到CPU，由上层软件去进行合法性检测并转发；如果源IP源MAC、端口号和valnid在Snooping表项或者静态绑

3、定表中，则认为合法，进行正常处理或转发，否则认为是非法ARP报文，丢弃，并通过debug信息给出提示。同时该模块还支持信任端口和非信任端口（考虑聚合端口组处理，具体参见详细设计文档），如果端口被配置为信任端口，则在该端口不进行ARP检测，否则进行ARP检测。1.2IP过滤特性为防止黑客仿冒他人IP/MAC进行攻击，需下发ACL由硬件判断IP报文IP、MAC和vlanid对应关系是否在Snooping表项或者静态绑定表中，合法则允许通过，否则直接丢弃，端口初始使能IP过滤时，规则为丢弃所有IP报文，同时

4、此功能也要考虑聚合端口组的处理。2.特性的优点2.1动态ARP检测特性优点开启ARP检测功能，可以有效防止网络中常见的ARP欺骗攻击，同时也可以轻松限制非法网络用户访问网络的权限。2.2IP过滤特性优点开启IP过滤功能，直接将非法IP/MAC报文丢弃，可以有效防止IP/MAC欺骗。报文合法性判断由硬件直接处理，效率高，占用系统资源少。3.版本历史记录表1、版本历史记录表平台版本号修改描述备注PLATV100R003B24D001SP08特性开发完成低端交换机4.使用指南4.1使用场合任意情况下都可以使

5、用上述特性。6湖南工业职业技术学院网络技术专业教学资源库1.1配置步骤1.1.1动态ARP检测配置步骤表2、配置步骤操作命令说明进入系统视图system-view-进入VLAN视图vlan1必选配置ARP检测arpdetectionenable必选进入端口视图Interfaceethernet0/1-配置信任端口arpdetectiontrust-1.1.2IP过滤配置步骤表3、配置步骤操作命令说明进入系统视图system-view-进入端口视图Interfaceethernet0/1必选配置IP过滤

6、策略ipchecksourceip-address必选[mac-address]ipsourcestaticbinding配置静态绑定项ip-addressx.x.x.xmac-addressx-x-xvlanvlanid1.2配置举例1.2.1动态ARP检测配置举例（1）组网及应用需求一般在做接入层的设备上启用动态ARP检测功能，能够有效防止ARP欺骗。6湖南工业职业技术学院网络技术专业教学资源库（1）配置过程sysystem-viewEntersystemvie

7、w,returntouserviewwithCtrl+Z.[Quidway]vlan1[Quidway-vlan1]arpdetectionenable（在vlan上使能ARP检测功能）[Quidway]interfacee0/1[Quidway-Ethernet0/1]arpdetectiontrust（将端口设为信任端口）1.1.1IP过滤配置举例（1）组网及应用需求一般在接入层设备开启IP过滤功能，能够有效防止IP/MAC欺骗。（2）配置过程system-viewEntersy

8、stemview,returntouserviewwithCtrl+Z.[Quidway]interfacee0/1 [Quidway-Ethernet0/1]ipchecksourceip-addressmac-address（在端口上使能IP过滤功能）[Quidway-Ethernet0/1]ipsourcestaticbindingip-address1.1.1.1vlan1mac-address2-2-2（在端口上绑定静态表项）1.2注意事项当开