华为数通---配置ARP安全综合功能案例

最新推荐文章于 2024-09-20 23:30:28 发布
最新推荐文章于 2024-09-20 23:30:28 发布
阅读量393 收藏 1
点赞数
分类专栏： 华为数通路由交换 文章标签： 华为 安全 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_77081516/article/details/134785736
版权

简介

ARP（Address Resolution Protocol）安全是针对ARP攻击的一种安全特性，它通过一系列对ARP表项学习和ARP报文处理的限制、检查等措施来保证网络设备的安全性。ARP安全特性不仅能够防范针对ARP协议的攻击，还可以防范网段扫描攻击等基于ARP协议的攻击。 

组网需求

如下图所示，Switch作为网关通过接口GE0/0/3连接一台服务器，通过接口GE0/0/1、GE0/0/2连接VLAN10和VLAN20下的四个用户。网络中存在以下ARP威胁： 

  • 攻击者向Switch发送伪造的ARP报文、伪造的免费ARP报文进行ARP欺骗攻击，恶意修改Switch的ARP表项，造成其他用户无法正常接收数据报文。
  • 攻击者发出大量目的IP地址不可达的IP报文进行ARP泛洪攻击，造成Switch的CPU负荷过重。
  • 用户User1构造大量源IP地址变化MAC地址固定的ARP报文进行ARP泛洪攻击，造成Switch的ARP表资源被耗尽以及CPU进程繁忙，影响到正常业务的处理。
  • 用户User3构造大量源IP地址固定的ARP报文进行ARP泛洪攻击，造成Switch的CPU进程繁忙，影响到正常业务的处理。

管理员希望能够防止上述ARP攻击行为，为用户提供更安全的网络环境和更稳定的网络服务。 

 

配置思路 

采用如下思路在Switch上进行配置：

  1. 配置ARP表项严格学习功能以及ARP表项固化功能，实现防止伪造的ARP报文错误地更新Switch的ARP表项。
  2. 配置根据源IP地址进行ARP Miss消息限速，实现防止用户侧存在攻击者发出大量目的IP地址不可达的IP报文触发大量ARP Miss消息，形成ARP泛洪攻击。同时需要保证Switch可以正常处理服务器发出的大量此类报文，避免因丢弃服务器发出的大量此类报文而造成网络无法正常通信。
  3. 配置基于接口的ARP表项限制以及根据源MAC地址进行ARP限速，实现防止User1发送的大量源IP地址变化MAC地址固定的ARP报文形成的ARP泛洪攻击，避免Switch的ARP表资源被耗尽，并避免CPU进程繁忙。
  4. 配置根据源IP地址进行ARP限速，实现防止User3发送的大量源IP地址固定的ARP报文形成的ARP泛洪攻击，避免Switch的CPU进程繁忙。

操作步骤 

  • 创建VLAN，将接口加入到VLAN中，并配置VLANIF接口

# 创建VLAN10、VLAN20和VLAN30，并将接口GE0/0/1加入VLAN10中，接口GE0/0/2加入VLAN20中，接口GE0/0/3加入VLAN30中。

<Huawei>system-view 
[Huawei]sysname Switch
[Switch]vlan batch 10 20 30
[Switch]interface GigabitEthernet 0/0/1
[Switch-GigabitEthernet0/0/1]port link-type trunk 
[Switch-GigabitEthernet0/0/1]port trunk allow-pass vlan 10
[Switch-GigabitEthernet0/0/1]quit
[Switch]interface GigabitEthernet 0/0/2
[Switch-GigabitEthernet0/0/2]port link-type trunk 
[Switch-GigabitEthernet0/0/2]port trunk allow-pass vlan 20
[Switch-GigabitEthernet0/0/2]quit
[Switch]interface GigabitEthernet 0/0/3
[Switch-GigabitEthernet0/0/3]port link-type trunk 
[Switch-GigabitEthernet0/0/3]port trunk allow-pass vlan 30
[Switch-GigabitEthernet0/0/3]quit

# 创建接口VLANIF10、VLANIF20、VLANIF30，配置各VLANIF接口的IP地址。

[Switch]interface Vlanif 10
[Switch-Vlanif10]ip address 10.8.8.4 24
[Switch-Vlanif10]quit	
[Switch]interface Vlanif 20
[Switch-Vlanif20]ip address 10.9.9.4 24
[Switch-Vlanif20]quit
[Switch]interface Vlanif 30
[Switch-Vlanif30]ip address 10.10.10.3 24
[Switch-Vlanif30]quit
  • 配置ARP表项严格学习功能
[Switch]arp learning strict
  • 配置ARP表项固化功能

# 配置ARP表项固化模式为fixed-mac方式。

[Switch]arp anti-attack entry-check fixed-mac enable
  • 配置根据源IP地址进行ARP Miss消息限速

# 配置对Server（IP地址为10.10.10.2）的ARP Miss消息进行限速，允许Switch每秒最多处理该IP地址触发的40个ARP Miss消息；对于其他用户，允许Switch每秒最多处理同一个源IP地址触发的20个ARP Miss消息。

[Switch]arp-miss speed-limit source-ip maximum 20
[Switch]arp-miss speed-limit source-ip 10.10.10.2 maximum 20
  • 配置基于接口的ARP表项限制

# 配置接口GE0/0/1最多可以学习到20个动态ARP表项。

[Switch]interface GigabitEthernet 0/0/1
[Switch-GigabitEthernet0/0/1]arp-limit vlan 10 maximum 20
[Switch-GigabitEthernet0/0/1]quit
  • 配置根据源MAC地址进行ARP限速

# 配置对用户User1（MAC地址为1-1-1）进行ARP报文限速，每秒最多只允许10个该MAC地址的ARP报文通过。

[Switch]arp speed-limit source-mac 1-1-1 maximum 10
  • 配置根据源IP地址进行ARP限速

# 配置对用户User3（IP地址为10.9.9.2）进行ARP报文限速，每秒最多只允许10个该IP地址的ARP报文通过。

[Switch]arp speed-limit source-ip 10.9.9.2 maximum 10
  • 验证配置结果

# 执行命令display arp learning strict，可以看到全局已经配置ARP表项严格学习功能。

[Switch]display arp learning strict 
 The global configuration:arp learning strict 

 Interface                           LearningStrictState 
------------------------------------------------------------
------------------------------------------------------------
 Total:0
 Force-enable:0
 Force-disable:0

# 执行命令display arp-limit，查看接口可以学习到的动态ARP表项数目的最大值。

[Switch]display arp-limit interface GigabitEthernet 0/0/1
 Interface                      LimitNum   VlanID     LearnedNum(Mainboard) 
---------------------------------------------------------------------------
 GigabitEthernet0/0/1           20         10         0         
---------------------------------------------------------------------------
 Total:1

# 执行命令display arp anti-attack configuration all，查看当前ARP防攻击配置情况。

[Switch]display arp anti-attack configuration all
ARP anti-attack packet-check function: disable 

ARP gateway-duplicate anti-attack function: disabled 
 
ARP anti-attack log-trap-timer: 0 second(s) 
(The log and trap timer of speed-limit, default is 0 and means disabled.)
 
ARP anti-attack entry-check mode: 
 Vlanif      Mode    
-------------------------------------------------------------------------------
 All         fixed-mac
-------------------------------------------------------------------------------

ARP rate-limit configuration:
-------------------------------------------------------------------------------
Global configuration:
Interface configuration:
Vlan configuration:
-------------------------------------------------------------------------------

ARP miss rate-limit configuration:
-------------------------------------------------------------------------------
Global configuration:
Interface configuration:
Vlan configuration:
-------------------------------------------------------------------------------

ARP speed-limit for source-MAC configuration:
MAC-address         suppress-rate(pps)(rate=0 means function disabled)
-------------------------------------------------------------------------------
0001-0001-0001      10
Others              0
-------------------------------------------------------------------------------
The number of configured specified MAC address(es) is 1, spec is 512.

ARP speed-limit for source-IP configuration:
IP-address          suppress-rate(pps)(rate=0 means function disabled)
-------------------------------------------------------------------------------
10.9.9.2            10
Others              0
-------------------------------------------------------------------------------
The number of configured specified IP address(es) is 1, spec is 512.

ARP miss speed-limit for source-IP configuration:
IP-address          suppress-rate(pps)(rate=0 means function disabled)
-------------------------------------------------------------------------------
10.10.10.2/32       20
Others              20
-------------------------------------------------------------------------------
The number of configured specified IP address(es) is 1, spec is 512.

# 执行命令display arp packet statistics，查看ARP处理的报文统计数据。

[Switch]display arp packet statistics 
ARP Pkt Received:   sum      0 
ARP-Miss Msg Received:   sum      0 
ARP Learnt Count:   sum      0 
ARP Pkt Discard For Limit:   sum      0 
ARP Pkt Discard For SpeedLimit:   sum      0 
ARP Pkt Discard For Proxy Suppress:   sum      0 
ARP Pkt Discard For Other:   sum      0 
ARP-Miss Msg Discard For SpeedLimit:   sum      0 
ARP-Miss Msg Discard For Other:   sum      0

由显示信息可知，Switch上产生了ARP报文和ARP Miss消息丢弃计数，表明ARP安全功能已经生效。

配置文件 

#
sysname Switch
#
vlan batch 10 20 30
#
arp learning strict
#
arp-miss speed-limit source-ip 10.10.10.2 maximum 20
arp speed-limit source-ip 10.9.9.2 maximum 10
arp speed-limit source-mac 0001-0001-0001 maximum 10
arp anti-attack entry-check fixed-mac enable
#
arp-miss speed-limit source-ip maximum 20
#
interface Vlanif10
 ip address 10.8.8.4 255.255.255.0
#
interface Vlanif20
 ip address 10.9.9.4 255.255.255.0
#
interface Vlanif30
 ip address 10.10.10.3 255.255.255.0
#
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 10
 arp-limit vlan 10 maximum 20
#
interface GigabitEthernet0/0/2
 port link-type trunk
 port trunk allow-pass vlan 20
#
interface GigabitEthernet0/0/3
 port link-type trunk
 port trunk allow-pass vlan 30
#
return
王鹏程@123
关注
专栏目录
【华为数通HCIP | 网络工程师】H12-831刷题日记 题目+解析（2）
小新的博客
02-16 3252
A.网络中频繁出现用户私自接入交换机的现象，需要在当前网络的接入层新增一些网络安全相关的配置B.因为业务增长，某园区网络新增一台出口i路由器C.防火墙软件版本较老，新版本支持了更多安全特性，需要升级其他软件版本D.某新建中的园区网络，需要替换已经安装的接入交换机为另一型号【正确答案】A,B,C,D【答案解析】在网络中扩容和替换都属于割接项目。注意：需要Word版821、831题库的添加wx获取。
121、华为交换机配置手册
qq_43416206的博客
06-19 8491
弱电干货 2020-09-27 19:40收录于合集#网络技术449个小伙伴们通过Console口登录后还希望远程登录和管理交换机，就可以在交换机上配置Telnet服务功能并使用AAA验证方式登录。 步骤1：从PC1通过交换机Console口登录交换机。步骤2：配置交换机名称和管理IP地址。system-view[Quidway] sysname Server[Server] interface ethernet 0......
配置基于接口的ARP表项限制和端口安全（限制用户私自接入傻瓜交换机或非法主机接入）
m0_60444349的博客
06-28 2200
应用场景：为了防止未授权用户接入网络、用户私自接入交换机、路由器等设备，给公司网络管理带来安全隐患。通过相关技术手段给予禁止，方法有如下二种：配置端口安全和配置基于接口的ARP表项限制分别介绍二种方法的操作原理及配置：一、端口安全：将设备端口学习到的动态MAC地址转换为安全MAC地址。在接口下使能此功能，并限制接口最大可学习的MAC表项数量，当超过设置值时，将丢弃后续用户的报文，从而确保接口的终端接入安全，增强设备安全性。1.1 安全MAC地址分为以下三类：（1）安全动态MAC地址（使能port-secur
ARP安全配置与管理——2
kaoa000的专栏——非淡泊无以明志，非宁静无以致远
05-14 1万+
配置防ARP欺骗攻击ARP表项攻击、网关攻击、中间人攻击是ARP欺骗攻击的主要应用场景。下表列出了针对不同ARP欺骗攻击类型所提供的不同解决方案，以增强网络抗击ARP欺骗攻击的能力。在这些配置防ARP欺骗攻击安全特性中，各项配置均是并列关系，无严格配置顺序，也并不是要求配置所有的ARP安全特性方案，用户可根据需要选择配置一种或多种方案。一、配置ARP表项固化为了防止ARP地址欺骗攻击，可以配置AR...
ARP安全介绍
2301_76769041的博客
04-08 1102
ARP（Address Resolution Protocol）安全是针对ARP攻击的一种安全特性，通过部署ARP安全的相关子特性，不仅能够防范针对ARP协议的攻击，还可以防范网段扫描攻击等基于ARP协议的攻击，保证网络设备和网络通信的安全性。
ARP安全
weixin_46041124的博客
02-23 1404
如图3-247所示，SwitchA通过接口GE2/0/1连接DHCP Server，通过接口GE1/0/1、GE1/0/2连接DHCP客户端UserA和UserB，通过接口GE1/0/3连接静态配置IP地址的用户UserC。动态ARP检测是利用绑定表来防御中间人攻击的。当设备收到ARP报文时，将此ARP报文对应的源IP、源MAC、VLAN以及接口信息和绑定表的信息进行比较，如果信息匹配，说明发送该ARP报文的用户是合法用户，允许此用户的ARP报文通过，否则就认为是攻击，丢弃该ARP报文。
ARP安全配置
zj2059129607的博客
11-28 240
ARP（Address Resolution Protocol）安全是针对ARP攻击的一种安全特性，它通过一系列对ARP表项学习和ARP报文处理的限制、检查等措施来保证网络设备的安全性。ARP安全特性不仅能够防范针对ARP协议的攻击，还可以防范网段扫描攻击等基于ARP协议的攻击。
华为HCIA精品视频.rar
10-31
6.基本配置命令和案例分析mp4 17、网络层协议mp4 18.IP地址介绍mp4 19.子网划分mp4 20.1CMP协议及P地址应用mp4 21-1.路由基本概念及路由条目生产方式mp4 21-2、路由条目优选及路由转发mp4 22、静态路由及实验mp4 ...
《华为路由交换基础》课程标准.docx
06-04
《华为路由交换基础》课程是针对物联网应用技术、大数据技术与应用、移动应用开发等专业的核心技术课程，旨在培养学生的CT领域数通方向基础知识和职业技能。本课程以华为HCIA-R&S认证的理论和技术为核心，强调实践...
网络拓扑设计与华为hcia数通(路由与交换)的最佳实践
阐述网络拓扑设计的基本原则，如冗余、可扩展性、性能均衡、安全性等，并结合实际案例进行说明。 ## 1.4 实际案例分析：常见网络拓扑方案比较 通过实际案例对比分析常见的网络拓扑方案，如小型办公室网络、大型数据...
arp miss攻击_详述网络中ARP安全的综合功能
weixin_30268555的博客
12-24 3445
针对以上攻击，ARP安全提供如下措施保证网络设备的安全性：针对第一种攻击，可配置ARP防网关冲突，防止攻击者冒充网关窃听用户主机信息。针对第二种攻击，可配置ARP Miss消息限速，减小CPU的负担，保护目的网络的带宽资源。针对第三种攻击，可配置ARP报文限速，以保护CPU资源。组网需求如图1所示，Switch作为网关通过接口GE1/0/3连接一台服务器，通过接口GE1/0/1、GE1/0/2连接...
linux网络协议栈分析笔记9-arp邻居子系统2
白水煮鸡蛋
04-12 1994
上回说到流量输出会走到neigh_resolve_output  我们来看看邻居这玩意能玩点什么花样，传说的arp学习在哪里 int neigh_resolve_output(struct sk_buff *skb) {      struct dst_entry *dst = skb_dst(skb);      struct neighbour *neigh;      int rc
震惊！ARP安全竟然还可以这样配置？
Arouroua的博客
07-08 1577
本文主要是描述ARP安全的原理以及配置和实验演示！
ARP miss消息限速
qq_45519920的博客
12-13 1689
背景：如果网络中有用户向设备发送大量目的IP地址不能解析的IP报文（也就是说路由表中存在该IP报文的目的IP对应的ARP表项，但是设备上没有该路由表项下一跳对应的ARP表项）这将会导致设备产生大量的ARP miss消息。这种触发了ARP miss消息的报文会被上送到主控板处理，设备会依据ARP miss消息下发大量ARP临时表项并向网络大量发送ARP请求报文，这样就增大了设备CPU的负担。 解决： 依据源IP地址进行ARP miss消息限速 如果检测到某一源IP地址的IP报文在1s内触发的ARP miss
S交换机有ARP Miss告警，怎么办？
weixin_34331102的博客
01-17 6236
S交换机有ARP Miss告警，怎么办？先弄明白ARP Miss是怎么产生的：设备在转发报文时，如果报文的目的地址和设备三层接口地址在同一个网段，正常情况下会查找arp进行直接转发，如果查找不到arp表项，就会上送CPU触发ARP-MISS流程来学习ARP。上层软件收到ARP Miss消息后，首先生成一个ARP假表项发送给设备，防止相同的ARP Miss消息不断上报；然后上层...
华为交换机 ARP 相关命令
热门推荐
abc768047936abc的博客
09-18 1万+
display arp all #查看ARP表 arp static ip地址 MAC地址 #手工配置静态ARP映射 arp-porxy enable #开启代理ARP功能
重回极简：华为如何走向全面智能化？
脑极体
09-19 540
“人类发现地球只是宇宙一员的时候，也是我们距离群星最遥远的时候。”这个来自天文领域的喟叹，今天同样出现在行业与企业的智能化之路上。在这个时代坐标上，AI大模型技术极速成熟，AIGC和AI Agent等应用受到了各个行业的巨大期待。但对绝大多数企业而言，AI看似近了，其实却更远了。当企业耗巨资去追求大模型开发、自建AI算力、搭建AI平台等智能化方案，往往会发现其带来的价值并不明显，消耗的成本却难以承...
828华为云征文｜华为Flexus云服务器打造FastBee物联网平台
最新发布
繁依Fanyi的博客
09-20 696
通过华为Flexus云服务器打造FastBee物联网平台，我们为物联网应用提供了一个强大、可靠的解决方案。华为Flexus云服务器的卓越性能和稳定性，结合FastBee物联网平台的功能强大，为物联网的发展提供了有力的支持。在未来，随着物联网技术的不断发展，我们可以进一步优化和扩展这个平台，为更多的物联网应用场景提供服务。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值