内网冲突

配置ARP网关防护

1.11  配置ARP网关保护功能

1.11.1  功能简介

在设备上不与网关相连的接口上配置此功能，可以防止伪-造网关攻击。

在接口上开启此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址是否和配置的被保护网关的IP地址相同。如果相同，则认为此报文非法，将其丢弃；否则，认为此报文合法，继续进行后续处理。

1.11.2  配置限制和指导

·            每个接口最多支持配置8个被保护的网关IP地址。

·            不能在同一接口下同时配置命令arp filter source和arp filter binding。

·            本功能与ARP Detection、ARP Snooping和ARP快速应答功能配合使用时，先进行本功能检查，本功能检查通过后才会进行其他配合功能的处理。

1.11.3  配置步骤

(1)       进入系统视图。

system-view

(2)       进入接口视图。

interface interface-type interface-number

支持的接口类型包括二层以太网接口和二层聚合接口。

(3)       开启ARP网关保护功能，配置被保护的网关IP地址。

arp filter source ip-address

缺省情况下，ARP网关保护功能处于关闭状态。

1.11.4  ARP网关保护功能典型配置举例

1. 组网需求

与Device B相连的Host B进行了仿-造网关Device A（IP地址为10.1.1.1）的ARP攻-击，导致与Device B相连的设备与网关Device A通信时错误发往了Host B。

要求：通过配置防止这种仿造网关攻击。

2. 组网图

图1-5 配置ARP网关保护功能组网图

‌

3. 配置步骤

# 在Device B上开启ARP网关保护功能。

<DeviceB> system-view

[DeviceB] interface hundredgige 1/0/1

[DeviceB-HundredGigE1/0/1] arp filter source 10.1.1.1

[DeviceB-HundredGigE1/0/1] quit

[DeviceB] interface hundredgige 1/0/2

[DeviceB-HundredGigE1/0/2] arp filter source 10.1.1.1

完成上述配置后，对于Host B发送的伪-造的源IP地址为网关IP地址的ARP报文将会被丢弃，不会再被转发。