华为交换机——ARP安全配置举例

一、认识ARP安全：

定义

ARP（Address Resolution Protocol）安全是针对ARP攻击的一种安全特性，它通过一系列对ARP表项学习和ARP报文处理的限制、检查等措施来保证网络设备的安全性。ARP安全特性不仅能够防范针对ARP协议的攻击，还可以防范网段扫描攻击等基于ARP协议的攻击。

目的

ARP协议有简单、易用的优点，但是也因为其没有任何安全机制，容易被攻击者利用。在网络中，常见的ARP攻击方式主要包括：

• ARP泛洪攻击，也叫拒绝服务攻击DoS（Denial of Service），主要存在这样两种场景：

  • 设备处理ARP报文和维护ARP表项都需要消耗系统资源，同时为了满足ARP表项查询效率的要求，一般设备都会对ARP表项规模有规格限制。攻击者就利用这一点，通过伪造大量源IP地址变化的ARP报文，使得设备ARP表资源被无效的ARP条目耗尽，合法用户的ARP报文不能继续生成ARP条目，导致正常通信中断。

  • 攻击者利用工具扫描本网段主机或者进行跨网段扫描时，会向设备发送大量目标IP地址不能解析的IP报文，导致设备触发大量ARP Miss消息，生成并下发大量临时ARP表项，并广播大量ARP请求报文以对目标IP地址进行解析，从而造成CPU（Central Processing Unit）负荷过重。

• ARP欺骗攻击，是指攻击者通过发送伪造的ARP报文，恶意修改设备或网络内其他用户主机的ARP表项，造成用户或网络的报文通信异常。

ARP攻击行为存在以下危害：

• 会造成网络连接不稳定，引发用户通信中断。
• 利用ARP欺骗截取用户报文，进而非法获取游戏、网银、文件服务等系统的帐号和口令，造成被攻击者重大利益损失。

为了避免上述ARP攻击行为造成的各种危害，可以部署ARP安全特性。

受益

• 可以有效降低用户为保证网络正常运行和网络信息安全而产生的维护成本。
• 可以为用户提供更安全的网络环境和更稳定的网络服务。

二、实验： 

2.1 实验拓扑：

2.2 实验配置： 

1. 创建VLAN，将接口加入到VLAN中，并配置VLANIF接口

   # 创建VLAN10、VLAN20和VLAN30，并将接口GE0/0/1加入VLAN10中，接口GE0/0/2加入VLAN20中，接口GE0/0/3加入VLAN30中。

   <HUAWEI> system-view
   [HUAWEI] sysname Switch
   [Switch] vlan batch 10 20 30
   [Switch] interface gigabitethernet 0/0/1
   [Switch-GigabitEthernet0/0/1] port link-type trunk
   [Switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 10
   [Switch-GigabitEthernet0/0/1] quit
   [Switch] interface gigabitethernet 0/0/2
   [Switch-GigabitEthernet0/0/2] port link-type trunk
   [Switch-GigabitEthernet0/0/2] port trunk allow-pass vlan 20
   [Switch-GigabitEthernet0/0/2] quit
   [Switch] interface gigabitethernet 0/0/3
   [Switch-GigabitEthernet0/0/3] port link-type trunk
   [Switch-GigabitEthernet0/0/3] port trunk allow-pass vlan 30
   [Switch-GigabitEthernet0/0/3] quit

   # 创建接口VLANIF10、VLANIF20、VLANIF30，配置各VLANIF接口的IP地址。

   [Switch] interface vlanif 10
   [Switch-Vlanif10] ip address 10.8.8.4 24
   [Switch-Vlanif10] quit
   [Switch] interface vlanif 20
   [Switch-Vlanif20] ip address 10.9.9.4 24
   [Switch-Vlanif20] quit
   [Switch] interface vlanif 30
   [Switch-Vlanif30] ip address 10.10.10.3 24
   [Switch-Vlanif30] quit

2. 配置ARP表项严格学习功能

   [Switch] arp learning strict

3. 配置ARP表项固化功能

   # 配置ARP表项固化模式为fixed-mac方式。

   [Switch] arp anti-attack entry-check fixed-mac enable

4. 配置根据源IP地址进行ARP Miss消息限速

   # 配置对Server（IP地址为10.10.10.2）的ARP Miss消息进行限速，允许Switch每秒最多处理该IP地址触发的40个ARP Miss消息；对于其他用户，允许Switch每秒最多处理同一个源IP地址触发的20个ARP Miss消息。

   [Switch] arp-miss speed-limit source-ip maximum 20
   [Switch] arp-miss speed-limit source-ip 10.10.10.2 maximum 40

5. 配置基于接口的ARP表项限制

   # 配置接口GE0/0/1最多可以学习到20个动态ARP表项。

   [Switch] interface gigabitethernet 0/0/1
   [Switch-GigabitEthernet0/0/1] arp-limit vlan 10 maximum 20
   [Switch-GigabitEthernet0/0/1] quit

6. 配置根据源MAC地址进行ARP限速

   # 配置对用户User1（MAC地址为1-1-1）进行ARP报文限速，每秒最多只允许10个该MAC地址的ARP报文通过。

   [Switch] arp speed-limit source-mac 1-1-1 maximum 10

7. 配置根据源IP地址进行ARP限速

   # 配置对用户User3（IP地址为10.9.9.2）进行ARP报文限速，每秒最多只允许10个该IP地址的ARP报文通过。

   [Switch] arp speed-limit source-ip 10.9.9.2 maximum 10