Dynamic ARP Inspection（动态ARP检测）功能，简称DAI

Dynamic ARP Inspection简介：

Dynamic ARP Inspection（动态ARP检测）功能，简称DAI功能。通过检查ARP（Address Resolution Protocol，地址解析协议）报文的合法性，发现并防止ARP欺骗攻击，增强网络安全性。DAI功能主要分为以下两类：

1.端口DAI功能：对指定端口接收到的ARP报文进行合法性检测，便于发现并防止ARP欺骗攻击；

ARP报文合法性检测的依据为端口IP source Guard绑定表项，具体检测原理：接收到的ARP报文中，发送端IP地址，源MAC地址及VLAN ID与端口IP source Guard绑定表项完全匹配，则该ARP报文为合法报文，对其进行转发；否则，该ARP报文为非法报文，将其丢弃，并记录日志信息。

2.全局DAI功能：对所有端口接收到的ARP报文进行合法性检测，防止伪冒用户发送伪造的ARP报文，导致设备建立错误的ARP表项。

ARP报文合法性检测的依据为全局IP source Guard绑定表项，具体检测原理：接收到的ARP报文中，发送端IP地址与全局IP source Guard绑定表项中的IP地址相同，但源MAC地址不同时，该ARP报文为伪造报文，将其丢弃，不记录日志信息。

端口DAI，全局DAI功能还会对ARP报文进行有效性检测，具体检测原理：接收到的ARP报文中的源MAC地址与发送端的MAC地址不同，则该报文为无效报文，将其丢弃，不记录日志信息。

3.端口ARP攻击检测：对指定端口接收到的ARP报文不进行合法性检测，只记录日志信息，用于发现ARP攻击。

 

配置端口Dynamic ARP Inspection功能：

配置条件：

在配置端口Dynamic ARP Inspection功能前，首先要完成以下任务：

配置端口IP Source Guard绑定表项。

使能端口DAI功能后，系统会依据端口IP Source Guard绑定表项，对端口接收到的ARP报文进行合法性检测，非法报文会被丢弃，并被记录到日志中。日志中记录的内容包括：VLAN ID，接收端口，发送端IP地址，目的IP地址，发送端MAC地址，目的MAC地址，相同非法ARP报文数。用户可以根据记录的日志信息来作进一步分析，缺省情况下，日志信息周期性输出，可通过配置日志输出间隔时间来控制报文的记录，输出及老化。日志输出间隔时间作为以下日志相关参数的基础值：

1.日志刷新周期：用于判断日志是否需输出及老化。如果配置的日志输出间隔时间小于5秒，则日志刷新周期等于1秒，否则，日志刷新周期等于五分之一的日志输出间隔时间；

2.日志老化时间：老化时间超时后，日志会被删除。日志老化时间为两倍的日志输出间隔时间；

3.日志令牌：日志刷新周期内，允许记录最大的日志数目。日志令牌数为15倍的日志刷新周期值。

使能端口DAI功能后，还可以配置端口ARP限速功能，即对每秒处理的ARP报文数目进行限制，避免系统由于长期处理大量ARP报文，导致其他协议报文无法及时得到处理。

说明：

端口ARP限速功能，即对每秒处理的ARP报文数目进行限制，避免系统由于长期处于大量ARP报文，导致其他协议报文无法及时得到处理。一秒内接收到的ARP报文数目超过速率上限值后，这一秒内后续接收到的ARP报文会被丢弃。如果端口连续20秒接收到的ARP报文都超速，则会将相应的端口关闭，来隔离报文冲击源。

进入二层以太接口配置模式：interface interface-name

使能端口DAI功能： ip arp inspection

配置端口处理ARP报文的上限值： ip arp inspection