ARP攻击防御典型配置桉例.doc

目 录
第 1 章 ARP 攻击防御功能介绍
.........................................................................................................................
2-2

注意事项 .................................................................................................................
2-6
认证模式下的 ARP 攻击防御配置举例 ............................................................................
2-7

组网需求 .................................................................................................................
2-7

组网图 .....................................................................................................................
2-7

配置思路 .................................................................................................................
2-8

配置步骤 .................................................................................................................
2-8

注意事项 ...............................................................................................................
2-19
防 ARP 攻击配置举例
关键词：

ARP 、 DHCP Snooping
摘 要：本文主要介绍如何利用以太网交换机

DHCP

监控模式下的防

ARP

攻击功能，防止校园
网中常见的“仿冒网关”、“欺骗网关”、“欺骗终端用户”、

ARP

泛洪等攻击形式。
同时，详细描述了组网中各个设备的配置步骤和配置注意事项，

指导用户进行实际配置。
缩略语：

ARP （ Address Resolution Protocol

，地址解析协议）
MITM （ Man-In-The-Middle ，中间人攻击）
第1章 ARP 攻击防御功能介绍
近来， 许多校园网络都出现了 ARP 攻击现象。 严重者甚至造成大面积网络不能正常
访问外网，学校深受其害。 H3C 公司根据 ARP 攻击的特点，提出了“全面防御，
模块定制”的 ARP 攻击防御理念，并给出了两种解决方案。
DHCP 监控模式下的 ARP 攻击防御解决方案
这种方式适合动态分配 IP 地址的网络场景，需要接入交换机支持 DHCP Snooping
功能。通过全网部署，可以有效的防御 “仿冒网关”、“欺骗网关”、“欺骗终端
用户”、“ ARP 中间人攻击”、“ ARP 泛洪攻击”等校园网中常见的 ARP 攻击方式；且不需要终端用户安装额外的客户端软件，简化了网络配置。
(2) 认证方式下的

ARP

攻击防御解决方案
这种方式适合网络中动态分配

IP

地址和静态分配

IP

地址共存的网络场景，且只能
防御 “仿冒网关” 的 ARP 攻击方式。它不需要在接入交换机上进行特殊的防攻击配
置，只需要客户端通过认证协议（ ）登录网络，认证服务器（如 CAMS 服务
器）会识别客户端，并下发网关的 IP/MAC