动态arp检测原理及应用

《动态arp检测原理及应用》由会员分享，可在线阅读，更多相关《动态arp检测原理及应用（5页珍藏版）》请在金锄头文库上搜索。

1、动态 ARP 检测原理及应用在一个局域网中，网络安全可以通过多种方式来实现，而采取DHCP snooping（DHCP 防护）及 DAI 检测（ ARP 防护）这种技术，保护接入交换机的每个端口，可以让网络更加安全，更加稳定，尽可能的减小中毒范围，不因病毒或木马导致全网的瘫痪。下面将详细的对这种技术的原理和应用做出解释。一、 相关原理及作用1、 DHCP snooping 原理DHCP Snooping 技术是 DHCP 安全特性，通过建立和维护 DHCP Snooping 绑定表过滤不可信任的 DHCP 信息，这些信息是指来自不信任区域的 DHCP 信息。DHCP Snooping 绑定表包

2、含不信任区域的用户 MAC 地址、IP 地址、租用期、VLAN-ID 接口等信息。 当交换机开启了 DHCP-Snooping 后，会对 DHCP 报文进行“侦听” ，并可以从接收到的 DHCP Request 或 DHCP Ack 报文中提取并记录 IP 地址和 MAC 地址信息。另外，DHCP-Snooping 允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Offer 报文，而不信任端口会将接收到的 DHCP Offer 报文丢弃。这样，可以完成交换机对假冒 DHCP Server 的屏蔽作用，确保客户端从合法的 DHCP Server 获取 IP 地址

3、。2、DHCP snooping 作用DHCP snooping 的主要作用就是隔绝私接的 DHCP server，防止网络因多个 DHCPserver 而产生震荡。 DHCP snooping 与交换机 DAI 技术的配合，防止 ARP 病毒的传播。建立并维护一张 DHCP snooping 的“绑定表” ，这张表可以通过dhcp ack 包中的 ip 和 mac 地址生成的，也可以通过手工指定。它是后续 DAI（D ynamic ARP Inspection）和 IP Source Guard 基础。这两种类似的技术，是通过这张表来判定 ip 或者 mac 地址是否合法，来限制用户连接到网

4、络的。3、DAI 的原理及作用DAI 全称为 Dynamic ARP Inspection， 译 为 动 态 ARP 检 测 。思 科 Dynamic ARP Inspection (DAI)在 交 换 机 上 提 供 IP 地 址 和MAC 地 址 的 绑 定 ， 并 动 态 建 立 绑 定 关 系 。 DAI 以 DHCP Snooping绑 定 表 为 基 础 ， 对 于 没 有 使 用 DHCP 的 服 务 器 个 别 机 器 可 以 采 用静 态 添 加 ARP access-list 实 现 。DAI 配 置 可 以 针 对 VLAN， 对 于 同 一 VLAN 内 的 接 口 即

5、 可 以 开启 DAI 也 可 以 关 闭 。 通 过 DAI 可 以 控 制 某 个 端 口 的 ARP 请 求 报 文数 量 ， 来 达 到 防 范 DoS 攻 击 的 目 的 。二 、 DHCP snooping 及 DAI 的 应 用1、 DHCP snooping 的 应 用Switch（ config） # ip dhcp snooping Switch（ config） # ip dhcp snooping vlan id /* vlan id 为 vlan 号 。Switch（ config-if） #ip dhcp snooping limit rate number /*d

6、hcp 包 的 转 发 速 率 ， 超 过 就 接 口 就 err-disable， 默 认 不 限 制 ; Switch（ config-if） # ip dhcp snooping trust /*这 样 这 个端 口 就 变 成 了 信 任 端 口 ， 信 任 端 口 可 以 正 常 接 收 并 转 发 DHCP Offer 报 文 ， 不 记 录 ip 和 mac 地 址 的 绑 定 ， 默 认 是 非 信 任 端 口 。交 换 机 上 联 端 口 必 须 为 trust 端 口 Switch# ip dhcp snooping binding mac-address vlan id

7、ip-address interface interface /*这 样 可 以 静 态 ip 和 mac 一个 绑 定 。 mac-address 为 设 备 物 理 地 址 ， ip-address 为 设 备 IP地 址 ， interface 为 设 备 所 接 交 换 机 端 口 号 。Switch（ config） #ip dhcp snooping database tftp:/ 10.1.1.1/dhcp_table /*因 为 掉 电 后 ， 这 张 绑 定 表 就 消 失 了 ，所 以 要 选 择 一 个 保 存 的 地 方 ， ftp、 tftp、 flash 皆 可 。

8、Dhcp_table 为 文 件 名 ， 并 且 在 服 务 器 端 也 要 建 立 一 个 相 同 文 件 名文 件 。 2、 DAI 的 应 用Switch(config)#ip dhcp snooping vlan id /* vlan id 为vlan 号 。Switch(config)#ip dhcp snoopingSwitch(config)#ip arp inspection vlan id /* 定 义 对 哪些 VLAN 进 行 ARP 报 文 检 测 。Switch(config)#ip arp inspection validate src-mac dst-mac ip

9、-address /*对 src-mac（ 源 mac 地 址 ） , dst-mac（ 目 标 mac 地 址 ） 和 ip-address（ ip 地 址 ） 进 行 检查 Switch(config-if)#ip arp inspection limit rate number /* 定 义 接 口 每 秒 ARP 报 文 数 量 。Switch(config-if)#ip arp inspection trust /*信 任 的 接口 不 检 查 arp 报 文 ,默 认 是 检 测 。 上 联 端 口 必 须 设 为 trust。三、DHCP Snooping 和 DAI 在应用中的

10、问题及解决办法当一台交换机启用 DHCP Snooping 和 DAI 时，该交换机的所有下联端口都具备了这种防护功能。但是默认情况下，DCHP 包的检测和 ARP 包检测的数值都相对较低，若新接入一台设备，向整个 Vlan发送 ARP 包进行查找。这样的话会使交换机端口进入 Err-disable状态。这时，我们就必须要在相应端口更改相应的数值。当发现有端口 Err-disable 时，先在交换机上查看端口 err-disable 状态：Switch(config-if)# show interface interface status err-disabled通 过 这 条 命 令 ， 可

11、 以 看 到 端 口 err-disable 的 原 因 。 根 据 这一 条 ， 我 们 可 以 在 交 换 机 配 置 中 添 加 命 令 来 解 决 这 个 问 题 ：Switch(config)# errdisable recovery cause reason /*err-disable 恢 复 原 因 。这 里 产 生 err-disable 的 原 因 有 很 多 种 ， 但 就 ARP 包 产 生 的问 题 ， 这 一 条 要 慎 用 。 因 为 不 确 定 下 联 设 备 是 否 是 完 全 可 信 ， 针对 这 个 ， 我 们 可 以 在 相 应 端 口 上 添 加 如 下

12、 命 令 ：Switch（ config-if） #ip dhcp snooping limit rate numberSwitch（ config-if） #ip arp inspection limit rate number这 里 的 数 值 默 认 为 30， 最 大 值 为 2048， 我 们 可 以 根 据 实 际 情况 更 改 。 在 端 口 完 成 配 置 后 ， 必 须 要 对 端 口 进 行 shutdown 和 no shutdown 操 作 ， 否 则 端 口 状 态 不 会 改 变 。此 外 ， 还 有 一 条 命 令 ， 配 置 后 可 以 缩 短 故 障 恢 复 时 间 ：Switch(config)#errdisable recovery interval time /*time 为时间，区间为 3086400 秒，默认为 300 秒。 通过对原理的理解和相关参数命令的配置后，不仅能提升我们网络的安全稳定性，而且还可以对一些特殊端口采取特殊的配置以实现更为丰富又安全的应用。