配置ARP安全综合功能示例

最新推荐文章于 2024-05-11 17:04:07 发布
最新推荐文章于 2024-05-11 17:04:07 发布
阅读量1k 收藏 23
点赞数 8
文章标签： 安全 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_76769041/article/details/135886001
版权

组网图形

ARP安全简介

ARP（Address Resolution Protocol）安全是针对ARP攻击的一种安全特性，它通过一系列对ARP表项学习和ARP报文处理的限制、检查等措施来保证网络设备的安全性。ARP安全特性不仅能够防范针对ARP协议的攻击，还可以防范网段扫描攻击等基于ARP协议的攻击。

常见的ARP攻击如下：

  1. 用户主机直接接入网关，攻击者将伪造网关的ARP报文发送给用户主机，使用户主机误以为攻击者即为网关。用户主机的ARP表中会记录错误的网关地址映射关系，这样就会把发往网关的流量均发送给了攻击者，攻击者可轻易窃听到用户主机发送的数据内容。

  2. 网络中有用户向设备发送大量目的IP地址不能解析的IP报文（即路由表中存在该IP报文的目的IP对应的路由表项，但设备上没有该路由表项中下一跳对应的ARP表项），将导致设备触发大量的ARP Miss消息。这种触发ARP Miss消息的IP报文（即ARP Miss报文）会被上送到CPU进行处理，设备会根据ARP Miss消息生成和下发大量临时ARP表项并向目的网络发送大量ARP请求报文，这样就增加了设备CPU的负担，同时严重消耗目的网络的带宽资源。

  3. 设备收到大量ARP攻击报文，并需要对所有ARP攻击报文全部进行处理，可能导致CPU负荷过重而无法处理其他业务。

针对以上攻击，ARP安全提供如下措施保证网络设备的安全性：

  • 针对第一种攻击，可配置ARP防网关冲突，防止攻击者冒充网关窃听用户主机信息。

  • 针对第二种攻击，可配置ARP Miss消息限速，减小CPU的负担，保护目的网络的带宽资源。

  • 针对第三种攻击，可配置ARP报文限速，以保护CPU资源。

配置注意事项
  • 本举例适用所有框式交换机的产品和版本。
  • 本举例适用的盒式交换机的产品和版本请参见举例适用的产品和版本。

组网需求

如图1所示，Switch作为网关通过接口GE1/0/3连接一台服务器，通过接口GE1/0/1、GE1/0/2连接VLAN10和VLAN20下的四个用户。网络中可能存在以下ARP威胁：

  • 攻击者向Switch发送伪造的网关的ARP报文，使用户误以为攻击者即为网关。这样用户就会把发往网关的流量均发送给了攻击者，攻击者可轻易窃听到用户发送的数据内容。
  • 攻击者发出大量目的IP地址不可达的IP报文进行ARP泛洪攻击，造成Switch的CPU负荷过重。
  • 用户User1构造大量源IP地址变化MAC地址固定的ARP报文进行ARP泛洪攻击，造成Switch的CPU进程繁忙，影响到正常业务的处理。
  • 用户User3构造大量源IP地址固定的ARP报文进行ARP泛洪攻击，造成Switch的CPU进程繁忙，影响到正常业务的处理。

管理员希望能够防止上述ARP攻击行为，为用户提供更安全的网络环境和更稳定的网络服务。

配置思路

采用如下思路在Switch上进行配置：

  1. 配置ARP防网关冲突，防止攻击者冒充网管窃听用户主机信息。
  2. 配置根据源IP地址进行ARP Miss消息限速，实现防止用户侧存在攻击者发出大量目的IP地址不可达的IP报文触发大量ARP Miss消息，形成ARP泛洪攻击。同时需要保证Switch可以正常处理服务器发出的大量此类报文，避免因丢弃服务器发出的大量此类报文而造成网络无法正常通信。
  3. 配置根据源MAC地址进行ARP限速，实现防止User1发送的大量源IP地址变化MAC地址固定的ARP报文形成的ARP泛洪攻击，避免Switch的CPU进程繁忙。
  4. 配置根据源IP地址进行ARP限速，实现防止User3发送的大量源IP地址固定的ARP报文形成的ARP泛洪攻击，避免Switch的CPU进程繁忙。

操作步骤
  1. 创建VLAN，将接口加入到VLAN中，并配置VLANIF接口

    # 创建VLAN10、VLAN20和VLAN30，并将接口GE1/0/1加入VLAN10中，接口GE1/0/2加入VLAN20中，接口GE1/0/3加入VLAN30中。

    <HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 10 20 30
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type trunk
[Switch-GigabitEthernet1/0/1] port trunk allow-pass vlan 10
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type trunk
[Switch-GigabitEthernet1/0/2] port trunk allow-pass vlan 20
[Switch-GigabitEthernet1/0/2] quit
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] port link-type trunk
[Switch-GigabitEthernet1/0/3] port trunk allow-pass vlan 30
[Switch-GigabitEthernet1/0/3] quit

    # 创建接口VLANIF10、VLANIF20、VLANIF30，配置各VLANIF接口的IP地址。

    [Switch] interface vlanif 10
[Switch-Vlanif10] ip address 10.8.8.4 24
[Switch-Vlanif10] quit
[Switch] interface vlanif 20
[Switch-Vlanif20] ip address 10.9.9.4 24
[Switch-Vlanif20] quit
[Switch] interface vlanif 30
[Switch-Vlanif30] ip address 10.10.10.3 24
[Switch-Vlanif30] quit
  2. 配置ARP防网关冲突 

    [Switch] arp anti-attack gateway-duplicate enable  //配置ARP防网关冲突
  3. 配置根据源IP地址进行ARP Miss消息限速

    # 配置对Server（IP地址为10.10.10.2）的ARP Miss消息进行限速，允许Switch每秒最多处理该IP地址触发的40个ARP Miss消息；对于其他用户，允许Switch每秒最多处理同一个源IP地址触发的20个ARP Miss消息。

    [Switch] arp-miss speed-limit source-ip maximum 20  //配置根据源IP地址进行ARP Miss消息限速
[Switch] arp-miss speed-limit source-ip 10.10.10.2 maximum 40  //配置根据源IP地址进行ARP Miss消息限速
  4. 配置根据源MAC地址进行ARP限速

    # 配置对用户User1（MAC地址为0001-0001-0001）进行ARP报文限速，每秒最多只允许10个该MAC地址的ARP报文通过。

    [Switch] arp speed-limit source-mac 0001-0001-0001 maximum 10  //配置根据源MAC地址进行ARP限速
  5. 配置根据源IP地址进行ARP限速

    # 配置对用户User3（IP地址为10.9.9.2）进行ARP报文限速，每秒最多只允许10个该IP地址的ARP报文通过。

    [Switch] arp speed-limit source-ip 10.9.9.2 maximum 10  //配置根据源IP地址进行ARP限速
  6. 验证配置结果

    # 执行命令display arp anti-attack configuration all，查看当前ARP防攻击配置情况。

    [Switch] display arp anti-attack configuration all
......
ARP anti-attack entry-check mode:
Vlanif      Mode
-------------------------------------------------------------------------------
All         disabled
-------------------------------------------------------------------------------

ARP rate-limit configuration:
-------------------------------------------------------------------------------
Global configuration:
Interface configuration:
Vlan configuration:
-------------------------------------------------------------------------------

ARP miss rate-limit configuration:
-------------------------------------------------------------------------------
Global configuration:
Interface configuration:
Vlan configuration:
-------------------------------------------------------------------------------

ARP speed-limit for source-MAC configuration:
MAC-address         suppress-rate(pps)(rate=0 means function disabled)
-------------------------------------------------------------------------------
0001-0001-0001      10
Others              0
-------------------------------------------------------------------------------
The number of configured specified MAC address(es) is 1, spec is 1024.

ARP speed-limit for source-IP configuration:
IP-address          suppress-rate(pps)(rate=0 means function disabled)
-------------------------------------------------------------------------------
10.9.9.2            10
Others              30
-------------------------------------------------------------------------------
The number of configured specified IP address(es) is 1, spec is 1024.

ARP miss speed-limit for source-IP configuration:
IP-address          suppress-rate(pps)(rate=0 means function disabled)
-------------------------------------------------------------------------------
10.10.10.2/32       40
Others              20
-------------------------------------------------------------------------------
The number of configured specified IP address(es) is 1, spec is 1024.

    # 执行命令display arp packet statistics，查看ARP处理的报文统计数据。

    [Switch] display arp packet statistics
ARP Pkt Received:   sum  8678904
ARP-Miss Msg Received:   sum      183
ARP Learnt Count:   sum     37
ARP Pkt Discard For Limit:   sum      146
ARP Pkt Discard For SpeedLimit:   sum      40529
ARP Pkt Discard For Proxy Suppress:   sum      0
ARP Pkt Discard For Other:   sum  8367601
ARP-Miss Msg Discard For SpeedLimit:   sum      20
ARP-Miss Msg Discard For Other:   sum      104

    由显示信息可知，Switch上产生了ARP报文和ARP Miss消息丢弃计数，表明ARP安全功能已经生效。

配置文件

# Switch的配置文件

#
sysname Switch
#
vlan batch 10 20 30
#
arp-miss speed-limit source-ip 10.10.10.2 maximum 40
arp speed-limit source-ip 10.9.9.2 maximum 10
arp speed-limit source-mac 0001-0001-0001 maximum 10
arp anti-attack gateway-duplicate enable
#
arp-miss speed-limit source-ip maximum 20
#
interface Vlanif10
 ip address 10.8.8.4 255.255.255.0
#
interface Vlanif20
 ip address 10.9.9.4 255.255.255.0
#
interface Vlanif30
 ip address 10.10.10.3 255.255.255.0
#
interface GigabitEthernet1/0/1
 port link-type trunk
 port trunk allow-pass vlan 10
#
interface GigabitEthernet1/0/2
 port link-type trunk
 port trunk allow-pass vlan 20
#
interface GigabitEthernet1/0/3
 port link-type trunk
 port trunk allow-pass vlan 30
#
return

周工这里还有很多实验：关注+点赞+发送私信“题库”领取

HCIA实验拓扑

HCIP实验拓扑

关注+点赞+发送私信“题库”领取

周工不想解梦
关注
  • 8
    点赞
  • 踩
  • 23
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
构建H3C高性能园区网：Super VLAN技术配置示例.pptx
05-13
任务4 Super VLAN技术配置示例 0 1 【知识目标】 熟悉Super VLAN的基本原理 【能力目标】 能学会Super VLAN的配置 【思政目标】 培养学生的工匠精神，提高综合职业素养，树立社会主义职业精神。 课程目标 Super VLAN...
德国储能项目锂电池储能集装箱突发火灾：安全挑战再引关注
iotsensor的博客
05-11 276
德国警方估计，此次火灾造成的经济损失约为50万欧元，但更为严重的是，起火原因至今尚未明确，这无疑给储能系统的安全性再次敲响了警钟。在储能系统大规模应用的背景下，如何有效预防和控制锂离子电池的热失控和火灾风险成为了一个亟待解决的问题。目前，虽然技术上尚未有绝对保证锂电池不发生热失控的方法，但通过气体传感器技术等手段对储能电池进行实时监测和预警，仍被视为一种可行的预防措施。针对储能电池热失控，要坚持“早发现，早处置”的原则，对储能集装箱锂电池热失控初级阶级进行超前探测预警，将火灾隐患扑灭在萌芽阶段。
12350 安全生产举报投诉特服热线系统解决方案
05-11 347
随着经济的持续发展和社会的不断进步，安全生产问题日益凸显，成为影响社会稳定和人民福祉的重要因素。在此背景下，加强安全生产监管，提高监管效率和质量显得尤为重要。举报投诉作为安全生产监管的重要手段之一，具有信息来源广泛、反映问题直接、监督作用明显等特点。然而，传统的举报投诉方式往往存在信息传递不畅、处理效率低下等问题，难以满足现代社会对安全生产监管的需求。因此，开发一套高效、智能、安全的特服热线系统，对于提升安全生产监管水平、保障人民群众生命财产安全具有重要意义。
ConcurrentHashMap并发安全的实现
Mr.xing的博客
05-11 19
JDK1.7使用的是分段锁机制，其内部类Segment 继承了ReentrantLock，将容器内的数组划分成多段区域，每个区域对应一把锁，相比于HashTable确实提升了不少并发能力，但在数据量庞大的情况下，性能依然不容乐观，只能通过不断的增加锁来维持并发性能。而JDK1.8则使用了CAS乐观锁 + synchronized 局部锁处理并发问题，锁粒度更细，即使数据量很大也能保证良好的并发性。ConcurrentHashMap并发安全实现源码如下。
针对 % 号 | 引起的 不安全情况
m0_74381444的博客
05-11 487
%%%%%%
「 网络安全常用术语解读 」通用漏洞报告框架CVRF详解
网络安全
05-04 735
ICASI在推进多供应商协调漏洞披露方面处于领先地位，引入了通用漏洞报告框架（Common Vulnerability Reporting Format，CVRF）标准，制定了统一安全事件响应计划（USIRP）的原则，帮助创建了多方漏洞协调和披露指南和实践，并建立了一个成功协调多供应商应对众多安全事件的行业领导者信托小组。为了继续取得这些成功，并确保全球社会更广泛的参与，ICASI（Industry Consortium for Advancement of Security on the Internet
亚信安全发布《2024年第一季度网络安全威胁报告》
最新发布
亚信安全官方账号的博客
05-11 135
亚信安全发布《2024年第一季度网络安全威胁报告》。
AI烟雾监测识别摄像机：智能化安全防范的新利器
bova2022的博客
05-07 365
AI烟雾监测识别摄像机的应用范围广泛，不仅可以安装在家庭、商业建筑、工厂等场所，还可以应用于地铁、火车站等公共场所，为人们的生命财产安全提供全方位的保障。应运而生，成为智能化安全防范的新利器。这种AI烟雾监测识别摄像机，融合了人工智能技术和摄像监控技术，能够实时监测环境中的烟雾情况，并在检测到异常时及时触发警报，以便采取及时有效的灭火措施，最大程度地减少火灾带来的损失。随着现代社会的不断发展，人们对于安全问题的关注日益增加，尤其是在日常生活和工作中，对火灾等意外事件的预防成为了一项重要任务。
2024年建筑施工特种作业人员安全生产知识试题
yibaifentiku的博客
05-11 148
7.根据建设部的有关规定，施工单位新招收的合同制工人，及分配来的实习和代培人员，分别要进行三级安全教育，其中第一级安全教育是指（ ）。3.（ ）颁布实施，标志着安全生产成为我国现阶段建筑业工作的重点，安全生产制度被确立为促进我国建筑业发展的一项根本制度。8.《生产安全事故报告和调查处理条例》规定，根据生产安全事故造成的人员伤亡或者直接经济损失，事故分为（ ）等级。5.根据《建设工程安全生产管理条例》，作业人员进入新的岗位或者新的施工现场前，应当接受（ ）。答案：1-5：DBCBB 6-10：AABBC。
SGP.22-V.3.1-安全3
liudong200618的博客
05-08 729
在加载BPP时，此功能用于替换现有的BSP会话密钥（S-ENC和S-MAC），用一组新的会话密钥（通常是PPK-ENC和PPK-CMAC，如第2.5节所述）。3. **使用新密钥集**：一旦功能成功执行，eUICC将使用这组新的密钥集来解密和进行MAC（消息认证码）验证后续的BSP有效载荷块数据。2. **替换会话密钥**：如果新密钥的长度验证通过，eUICC将用新的密钥集替换当前的会话密钥。- **密钥类型保持不变**：新密钥集的类型与它们替换的会话密钥类型相同。
.[[email protected]].2700勒索病毒如何防护和恢复数据？
safe130的博客
05-11 302
若不幸感染病毒，应立即断开网络连接以防止病毒进一步传播，并寻求专业的技术支持以尝试恢复被加密的文件。因此，保持操作系统和应用程序的更新、使用可信赖的安全软件、定期备份数据以及避免打开未知来源的链接或文件是预防病毒感染的重要措施。综上所述，虽然数据库被.2700勒索病毒加密后恢复的可能性较低，但通过备份恢复、专业数据恢复服务或网络安全专家的协助，仍有可能找回部分或全部数据。目前缺乏有效的解密工具，且病毒的加密算法和密钥可能不断变换，使得解密工具的开发和更新难以跟上病毒的变化。寻求专业的数据恢复服务。
【玩转Google云】构建安全高效的电商系统：GCP VPC 网络规划指南
Coder加油站的专栏
05-05 414
在竞争激烈的电商领域，一个安全、高效且可扩展的网络基础架构至关重要。本文将深入探讨 Google Cloud Platform (GCP) 的 Virtual Private Cloud (VPC) 如何助力构建理想的电商系统。通过以一个典型的电商网站为例，我们将逐步解析 VPC 网络规划的关键步骤，包括子网划分、防火墙配置、连接选项和安全措施等。无论您是电商平台的开发者还是运维人员，本文都将为您提供宝贵的见解和最佳实践，助您打造一个稳健可靠的电商网络环境。
内容安全（AV）
m0_66993332的博客
05-08 869
基于网络侧 识别 病毒文件，工作范围2~7层。这里的网关指的是内网和外网之间的一个关口，在此进行病毒的查杀。在深信服中就有一个EDR设备，该设备就是有两种部署，一个部署在网关，一个部署在终端设备上，能最大限度的保障网络安全。防病毒(AV) -----传统的AV防病毒的方式是对文件进行查杀。传统的防病毒的方式是通过将文件缓存之后，再进行特征库的比对，完成检测。但是，因为需要缓存文件，则将占用设备资源，并造成转发延迟。
应用软件安全保证措施方案书
weixin_41039677的博客
05-08 243
软件全套资料进主页获取或者本文末个人名片直接获取。系统安全保证措施方案—word原件。
【小迪安全2023】第61天:服务攻防-中间件安全&CVE复现&K8s&Docker&uetty&Websphere
人若无名，便可专心练剑
05-07 1136
kubernetes简称 k8s，是一个由google开源的，用于自动部署，扩展和管理容器化应用程序的开源系统。在B站内部，k8s在管理生产级容器和应用服务部署已经有较为广泛和成熟的应用。通过k8s，可跨多台主机进行容器编排、快速按需扩展容器化应用及其资源、对应用实施状况检查、服务发现和负载均衡等。
Python 开发 框架安全：Django SQL注入漏洞测试.（CVE-2021-35042）
网络安全领域___专研者.
05-08 370
Django 是一个用 Python 编写的 Web 应用程序框架。它提供了许多工具和库，使得开发 Web 应用程序变得更加容易和高效。Django 遵循了“MTV”（模型-模板-视图）的设计模式，将应用程序的不同组件分离开来，使得开发人员可以更加专注于应用程序的不同方面。
ensp 配置 ARP防护
11-22
以下是在华为交换机中配置ARP防护的步骤： 1. 进入系统视图 ``` system-view ``` 2. 配置ARP防护 ``` arp anti-attack enable ``` 3. 配置ARP防护的白名单 ``` arp anti-attack trust ip-address 10.1.1.1 ``` ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值