测试交换机版本: software, Version 5.160 (S5700 V200R007C00SPC500)
实现的功能: 客户端通过DHCP获取IP地址, 限制发送大量的arp包, 禁止更改静态 IP或MAC, 否则网络不通. 防止了,arp攻击.
配置步骤:
1.开启DHCP , DHCP SNOOPING
2.配置好地址池(全局/接口),测试客户端可以正常获取IP地址;
3.客户端获取通过DHCP获取IP, dhcp snooping自动生成动态IP/MAC表, 或手动添加静态绑定表;
4.在VLAN下开启源MAC/IP检测功能, 并配置速率限制,阀值告警等功能;
dhcp enable //开启
dhcp snooping enable //开启
user-bind static ip-address 192.168.0.3 mac-address ac85-3d97-2140 vlan 100 //(可选)手动静态绑定 可以指定物理端口
--------------------------全局配置参数---------------------------
Global configuration:
arp anti-attack rate-limit enable //开启arp速率限制
arp anti-attack rate-limit packet 100 interval 5 //速率每5秒 100个包
arp anti-attack rate-limit alarm enable //超值报警
arp-miss speed-limit source-ip maximum 10 //限制每个IP最大每秒10个miss包(本版本并不支持!);
----------------------------------------------------------------
----------------DAI检测------接口下开启-----------------
vlan 100
dhcp snooping enable //开启snooping 生成动态绑定表
arp anti-attack check user-bind enable //开启DAI
arp anti-attack check user-bind check-item ip-address mac-address interface //DAI检测项
--------------------------------------------------------------------------
配置生效优先级: 物理接口---------->VLAN接口----------->全局