华为S9300核心交换机ARP安全配置（二）

gaoke

　　华为S9300核心交换机ARP安全配置（二）
　　具体的配置
　　一、应用环境：
　　在以太城域网中，存在着很多针对ARP 表项的***，因此需要在网络的接入层或者汇
　　聚层配置防止对ARP 表项的***，以保护网络的安全性。
　　二、配置严格学习ARP 表项
操作步骤步骤1 执行命令system-view，进入系统视图。步骤2 执行命令arp learning strict，配置严格学习ARP 表项。缺省情况下，S9300 未使能严格学习ARP 表项功能。三、配置基于接口的ARP 表项限制操作步骤步骤1 执行命令system-view，进入系统视图。步骤2 执行命令interface interface-type interface-number，进入接口视图。这里的接口可以是GE 接口、Eth-Trunk 接口或VLANIF 接口。步骤3 执行命令arp-limit [ vlan vlan-id [ to vlan-id2 ]] maximum maximum，配置基于接口的ARP 表项限制。vlan 选项只能在GE 接口或Eth-Trunk 接口视图下配置。四、配置防止ARP 地址欺骗操作步骤步骤1 执行命令system-view，进入系统视图。步骤2 执行命令arp anti-attack entry-check { fixed-mac | fixed-all | send-ack } enable，使能ARP地址防欺骗功能。只能同时使能一种ARP 地址防欺骗方式。如果原来使能了另外一种方式，则新配置的方式覆盖原来配置的方式。缺省情况下，S9300 未使能ARP 地址防欺骗功能。五、配置防止ARP 网关冲突操作步骤步骤1 执行命令system-view，进入系统视图。步骤2 执行命令arp anti-attack gateway-duplicate enable，使能ARP 网关冲突防***功能。六、配置ARP 报文源抑制功能背景信息为防止大量的ARP 报文增加CPU 的负荷，以及占用大量的ARP 表项，可以配置ARP报文速率抑制，将上送主控板处理的ARP 报文速率限制在一个合理的范围内。考虑到某些特定的用户有特别的需求，对于该用户的IP 地址可以配置不同于其他IP 地址的ARP 报文抑制速率。操作步骤步骤1 执行命令system-view，进入系统视图。步骤2 执行命令arp speed-limit source-ip maximum maximum，配置ARP 报文源抑制速率。步骤3 （可选）执行命令arp speed-limit source-ip ip-address maximum maximum，配置指定source-ip 用户的ARP 报文源抑制速率。完成上述配置后，对指定了source-ip 的用户，ARP 报文源抑制速率为步骤3 中配置的maximum 值；其它IP 地址的ARP 报文源抑制速率为步骤2 中配置的maximum 值。如果将速率配置为0，则表示不作ARP 报文源抑制。缺省情况下，所有IP 地址的ARP报文源抑制速率为500pps。七、配置ARP Miss 消息源抑制功能背景信息为防止主机发送大量目标IP 地址不能解析的IP 报文来***设备，可以配置ARP Miss源抑制功能，对***者的报文进行丢弃处理。考虑到某些特定的用户有特别的需求，对于该用户的IP 地址可以配置不同于其他IP 地址的ARP Miss 抑制速率。操作步骤步骤1 执行命令system-view，进入系统视图。步骤2 执行命令arp-miss speed-limit source-ip maximum maximum，配置ARP Miss 消息源抑制速率。步骤3 （可选）执行命令arp-miss speed-limit source-ip ip-address maximum maximum，配置指定source-ip 用户的ARP Miss 源抑制速率。完成上述配置后，对指定了source-ip 的用户，ARP Miss 源抑制速率为步骤3 中配置的maximum 值；其它IP 地址的ARP Miss 源抑制速率为步骤2 中配置的maximum 值。如果将速率配置为0，则表示不作ARP Miss 源抑制。缺省情况下，所有IP 地址的ARPMiss 源抑制速率为500pps。八、配置对潜在的ARP ***行为写日志和发送告警操作步骤步骤1 执行命令system-view，进入系统视图。步骤2 执行命令arp anti-attack log-trap-timer time，配置对潜在的***行为写日志和发送告警。time 为写ARP 日志和发送告警时间间隔。缺省情况下该值为0，表示未使能写ARP 日志和发送告警功能。九、配置检查配置结果前提条件已完成ARP 防***配置。操作步骤使用命令display arp learning strict 查看ARP 表项严格学习限制。 使用命令display arp anti-attack configuration { entry-check | gateway-duplicate |log-trap-timer | arp-speed-limit | arpmiss-speed-limit | all }查看当前ARP 防***配置。使用命令display arp-limit [ interface interface-type interface-number ] [ vlan vlan-id ]查看接口或VLAN 下配置的ARP 表项限制数目。使用命令display arp anti-attack gateway-duplicate item 查看当前网络中存在的网关地址冲突***信息。