華爲S9300核心交換機ARP安全配置（二）
http://luciffer.blog.51cto.com/863671/460195
具體的配置
一、應用環境：
在以太城域網中，存在着很多針對ARP 表項的***，因此需要在網絡的接入層或者匯
聚層配置防止對ARP 表項的***，以保護網絡的安全性。
二、配置嚴格學習ARP 表項
操作步驟
步驟1 執行命令system-view，進入系統視圖。
步驟2 執行命令arp learning strict，配置嚴格學習ARP 表項。
缺省情況下，S9300 未使能嚴格學習ARP 表項功能。
三、配置基於接口的ARP 表項限制
操作步驟
步驟1 執行命令system-view，進入系統視圖。
步驟2 執行命令interface interface-type interface-number，進入接口視圖。
這裏的接口可以是GE 接口、Eth-Trunk 接口或VLANIF 接口。
步驟3 執行命令arp-limit [ vlan vlan-id [ to vlan-id2 ]] maximum maximum，配置基於接口的
ARP 表項限制。
vlan 選項只能在GE 接口或Eth-Trunk 接口視圖下配置。
四、配置防止ARP 地址欺騙
操作步驟
步驟1 執行命令system-view，進入系統視圖。
步驟2 執行命令arp anti-attack entry-check { fixed-mac | fixed-all | send-ack } enable，使能ARP
地址防欺騙功能。
只能同時使能一種ARP 地址防欺騙方式。如果原來使能了另外一種方式，則新配置的
方式覆蓋原來配置的方式。缺省情況下，S9300 未使能ARP 地址防欺騙功能。
五、配置防止ARP 網關衝突
操作步驟
步驟1 執行命令system-view，進入系統視圖。
步驟2 執行命令arp anti-attack gateway-duplicate enable，使能ARP 網關衝突防***功能。
六、配置ARP 報文源抑制功能
背景信息
爲防止大量的ARP 報文增加CPU 的負荷，以及佔用大量的ARP 表項，可以配置ARP
報文速率抑制，將上送主控板處理的ARP 報文速率限制在一個合理的範圍內。
考慮到某些特定的用戶有特別的需求，對於該用戶的IP 地址可以配置不同於其他IP 地
址的ARP 報文抑制速率。
操作步驟
步驟1 執行命令system-view，進入系統視圖。
步驟2 執行命令arp speed-limit source-ip maximum maximum，配置ARP 報文源抑制速率。
步驟3 （可選）執行命令arp speed-limit source-ip ip-address maximum maximum，配置指定
source-ip 用戶的ARP 報文源抑制速率。
完成上述配置後，對指定了source-ip 的用戶，ARP 報文源抑制速率爲步驟3 中配置的
maximum 值；其它IP 地址的ARP 報文源抑制速率爲步驟2 中配置的maximum 值。
如果將速率配置爲0，則表示不作ARP 報文源抑制。缺省情況下，所有IP 地址的ARP
報文源抑制速率爲500pps。
七、配置ARP Miss 消息源抑制功能
背景信息
爲防止主機發送大量目標IP 地址不能解析的IP 報文來***設備，可以配置ARP Miss
源抑制功能，對***者的報文進行丟棄處理。
考慮到某些特定的用戶有特別的需求，對於該用戶的IP 地址可以配置不同於其他IP 地
址的ARP Miss 抑制速率。
操作步驟
步驟1 執行命令system-view，進入系統視圖。
步驟2 執行命令arp-miss speed-limit source-ip maximum maximum，配置ARP Miss 消息源抑
制速率。
步驟3 （可選）執行命令arp-miss speed-limit source-ip ip-address maximum maximum，配置指
定source-ip 用戶的ARP Miss 源抑制速率。
完成上述配置後，對指定了source-ip 的用戶，ARP Miss 源抑制速率爲步驟3 中配置的
maximum 值；其它IP 地址的ARP Miss 源抑制速率爲步驟2 中配置的maximum 值。
如果將速率配置爲0，則表示不作ARP Miss 源抑制。缺省情況下，所有IP 地址的ARP
Miss 源抑制速率爲500pps。
八、配置對潛在的ARP ***行爲寫日誌和發送告警
操作步驟
步驟1 執行命令system-view，進入系統視圖。
步驟2 執行命令arp anti-attack log-trap-timer time，配置對潛在的***行爲寫日誌和發送告
警。
time 爲寫ARP 日誌和發送告警時間間隔。缺省情況下該值爲0，表示未使能寫ARP 日
志和發送告警功能。
九、配置檢查配置結果
前提條件
已完成ARP 防***配置。
操作步驟
使用命令display arp learning strict 查看ARP 表項嚴格學習限制。
使用命令display arp anti-attack configuration { entry-check | gateway-duplicate |
log-trap-timer | arp-speed-limit | arpmiss-speed-limit | all }查看當前ARP 防***配
置。
使用命令display arp-limit [ interface interface-type interface-number ] [ vlan vlan-id ]
查看接口或VLAN 下配置的ARP 表項限制數目。
使用命令display arp anti-attack gateway-duplicate item 查看當前網絡中存在的網
關地址衝突***信息。