ER8300G2的ARP检测WAN口出现了大量的类似于网关的地址

参考下

9.1 设置ARP安全

您好，请知：

可能出现了环路或者ARP攻击。

可以设置下ARP安全，以下是配置说明，请参考：

9.1.2  设置ARP绑定

通过设置ARP绑定，可以有效地防止路由器的ARP表项受到攻击，保证了网络的安全。

1. 设置动态ARP绑定

为了防止通过DHCP方式获取IP地址的主机在路由器上的ARP表项被篡改，您可以开启动态ARP绑定功能，使得所有通过DHCP服务器分配出去的IP地址和其对应的MAC地址自动绑定。且动态绑定的表项在地址租约到期后不会被删除。

页面向导：安全专区→ARP安全→ARP绑定

页面为您提供如下主要功能：

2. 设置静态ARP绑定

静态ARP绑定即需要通过手工配置和维护。建议您将局域网内所有主机都添加到路由器的静态ARP表项中。

页面向导：安全专区→ARP安全→ARP绑定

本页面为您提供如下主要功能：

9.1.3  设置ARP检测

通过ARP检测功能，您可以快速地搜索到局域网内所有在线的主机，获取相应的ARP表项。同时，系统会检测这些表项当前的绑定状态以及是否存在异常（比如：获取的表项是否和路由器的静态ARP表项存在冲突等），并在页面的列表中以不同的颜色加以标明，帮助您更直观地对ARP表项进行判断和维护。

页面向导：安全专区→ARP安全→ARP检测

本页面为您提供如下主要功能：

9.1.4  设置发送免费ARP

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。

设备通过对外发送免费ARP报文来实现以下功能：

·     确定其他设备的IP地址是否与本机的IP地址冲突。当其他设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。

·     设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。

路由器支持定时发送免费ARP功能，这样可以及时通知其他设备更新ARP表项或者MAC地址表项，主要应用场景如下：

·     防止仿冒网关的ARP攻击

如果攻击者仿冒网关发送免费ARP报文，就可以欺骗同网段内的其他主机，使得被欺骗的主机访问网关的流量，被重定向到一个错误的MAC地址，导致其他用户无法正常访问网络。

为了尽量避免这种仿冒网关的ARP攻击，可以在网关的接口上开启定时发送免费ARP功能。开启该功能后，网关接口上将按照配置的时间间隔周期性发送接口主IP地址的免费ARP报文。这样，每台主机都可以学习到正确的网关，从而正常访问网络。

·     防止主机ARP表项老化

在实际环境中，当网络负载较大或接收端主机的CPU占用率较高时，可能存在ARP报文被丢弃或主机无法及时处理接收到的ARP报文等现象。这种情况下，接收端主机的动态ARP表项会因超时而被老化，在其重新学习到发送设备的ARP表项之前，二者之间的流量就会发生中断。

为了解决上述问题，您可以在路由器的接口上开启定时发送免费ARP功能。开启该功能后，路由器接口上将按照配置的时间间隔周期性地发送接口主IP地址的免费ARP报文。这样，接收端主机可以及时更新ARP映射表，从而防止了上述流量中断现象。

页面向导：安全专区→ARP安全→ARP防护

本页面为您提供如下主要功能：