Перейти к основному содержимому

ARP Inspection

Для предотвращения ARP Spoofing коммутатор должен убедиться, что только валидные ARP-запросы и ответы были переданы. В типичной атаке ARP Spoofing злоумышленник может отправлять незапрашиваемые ARP-ответы другим хостам в сети со своим MAC-адресом и IP-адресом default gateway.

Dynamic ARP inspection (DAI) помогает предотвратить такие атаки. Он перехватывает все ARP-запросы и ARP-ответы на недоверенных портах. Каждый перехваченный пакет проверяется по связке IP-MAC, которая создана DHCP Snooping или вручную. Также вы можете использовать DAI для ограничения pps ARP-пакетов.

Если ARP-пакет получен с доверенного порта, тогда коммутатор не станет проверять его, а просто перешлет по назначению. Если ARP-пакет получен с недоверенного порта, тогда коммутатор перешлет его только в случае, если он пройдет проверку.

Рассмотрим пример настройки.

Хорошим тоном является настраивать все абонентские порты, как недоверенные. Ограничим скорость пересылки ARP-пакетов на всех портах до 50 pps. Зададим доверенные и недоверенные порты.

В режиме глобальной конфигурации включим ARP Inspection и DHCP Snooping в VLAN 10:

(config)#ip dhcp snooping enable
(config)#ip dhcp snooping vlan 10 
(config)#ip dhcp snooping binding enable          
(config)#ip arp inspection vlan 10

Настроим доверенным порт 1/0/1:

(config)#int e1/0/1
(config-if-ethernet1/0/1)#switchport access vlan 10
(config-if-ethernet1/0/1)#ip dhcp snooping trust
(config-if-ethernet1/0/1)#ip arp inspection trust
(config-if-ethernet1/0/1)#ip arp inspection limit-rate 50
(config-if-ethernet1/0/1)exit
к сведению

На серии 5ххх нельзя задать limit-rate для trust-порта.

Настроим клиентские порты:

(config)#int e1/0/2-3
(config-if-port-range)#switchport access vlan 10
(config-if-port-range)#ip arp inspection limit-rate 50

Проверим статус ARP Inspection:

#sh ip arp inspection          
Dynamic ARP Inspection port information:
-------------------------------------------------------
      Port          Limit-rate       Status
-------------------------------------------------------
  Ethernet1/0/1        50             trust 
  Ethernet1/0/2        50             untrust
  Ethernet1/0/3        50             untrust
-------------------------------------------------------
Последнее обновление