评分并提供意见反馈 :
华为采用机器翻译与人工审校相结合的方式将此文档翻译成不同语言，希望能帮助您更容易理解此文档的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 华为对于翻译的准确性不承担任何责任，并建议您参考英文文档（已提供链接）。
配置防止ARP中间人攻击示例
组网需求
如图10-9所示，企业某部门用户通过SwitchA接入Internet。SwitchA下挂的用户，有些采用DHCP方式获取IP地址，有些采用静态配置的IP地址，且所有用户和DHCP Server均位于同一VLAN。如果存在攻击者发起ARP中间人攻击，会造成合法数据的泄漏，因此管理员希望SwitchA能够防止ARP中间人攻击。
CE12800E安装ED-E/EG-E/EGA-E系列单板后不支持此示例。
配置思路
采用如下思路在SwitchA上进行配置：
- 配置DHCP Snooping功能，以便生成动态用户的地址和端口的绑定关系表，并为静态用户配置静态绑定表，用于后续的ARP报文检查。
- 使能动态ARP检测功能，使SwitchA对收到的ARP报文对应的源IP、源MAC、VLAN以及接口信息进行绑定表匹配检查，过滤非法ARP报文，从而防止ARP中间人攻击。
操作步骤
- 创建VLAN，将接口加入到VLAN中
# 创建VLAN10，并将接口10GE1/0/1、10GE1/0/2、10GE1/0/3、10GE2/0/1加入VLAN10中。
<HUAWEI> system-view [~HUAWEI] sysname SwitchA [*HUAWEI] commit [~SwitchA] vlan batch 10 [*SwitchA] interface 10ge 1/0/1 [*SwitchA-10GE1/0/1] port link-type access [*SwitchA-10GE1/0/1] port default vlan 10 [*SwitchA-10GE1/0/1] quit [*SwitchA] interface 10ge 1/0/2 [*SwitchA-10GE1/0/2] port link-type access [*SwitchA-10GE1/0/2] port default vlan 10 [*SwitchA-10GE1/0/2] quit [*SwitchA] interface 10ge 1/0/3 [*SwitchA-10GE1/0/3] port link-type access [*SwitchA-10GE1/0/3] port default vlan 10 [*SwitchA-10GE1/0/3] quit [*SwitchA] interface 10ge 2/0/1 [*SwitchA-10GE2/0/1] port link-type trunk [*SwitchA-10GE2/0/1] port trunk allow-pass vlan 10 [*SwitchA-10GE2/0/1] quit
- 配置DHCP Snooping功能
# 全局使能DHCP Snooping功能。
[*SwitchA] dhcp enable [*SwitchA] dhcp snooping enable
# 在VLAN10内使能DHCP Snooping功能。
[*SwitchA] vlan 10 [*SwitchA-vlan10] dhcp snooping enable [*SwitchA-vlan10] quit
# 配置接口10GE2/0/1为DHCP Snooping信任接口。
[*SwitchA] interface 10ge 2/0/1 [*SwitchA-10GE2/0/1] dhcp snooping trusted [*SwitchA-10GE2/0/1] quit
# 配置静态绑定表。
[*SwitchA] user-bind static ip-address 10.0.0.2 mac-address 0001-0001-0001 interface 10ge 1/0/3 vlan 10 [*SwitchA] commit
- 在VLAN10内使能动态ARP检测功能
[*SwitchA] vlan 10 [*SwitchA-vlan10] arp anti-attack check user-bind enable [*SwitchA-vlan10] commit
- 验证配置结果
执行display current-configuration命令，查看DHCP Snooping功能、静态绑定表和动态ARP检测功能的配置情况。具体请参见配置文件。
配置文件
SwitchA的配置文件：
# sysname SwitchA # vlan batch 10 # dhcp enable # dhcp snooping enable # user-bind static ip-address 10.0.0.2 mac-address 0001-0001-0001 interface 10GE1/0/3 vlan 10 # vlan 10 dhcp snooping enable arp anti-attack check user-bind enable # interface 10GE1/0/1 port default vlan 10 # interface 10GE1/0/2 port default vlan 10 # interface 10GE1/0/3 port default vlan 10 # interface 10GE2/0/1 port link-type trunk port trunk allow-pass vlan 10 dhcp snooping trusted # return
