评分并提供意见反馈 :
华为采用机器翻译与人工审校相结合的方式将此文档翻译成不同语言，希望能帮助您更容易理解此文档的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 华为对于翻译的准确性不承担任何责任，并建议您参考英文文档（已提供链接）。
配置ARP防网关冲突
背景信息
如果有攻击者仿冒网关，在局域网内部发送源IP地址是网关IP地址的ARP报文，会导致局域网内其他用户主机的ARP表记录错误的网关地址映射关系。这样其他用户主机就会把发往网关的流量均发送给了攻击者，攻击者可轻易窃听到他们发送的数据内容，并且最终会造成这些用户主机无法访问网络。为了防范攻击者仿冒网关，当用户主机直接接入网关时，可以在网关设备上执行本命令使能ARP防网关冲突攻击功能。
如果未配置check-all参数，当同时满足如下条件：
- 收到报文的接口是VLANIF接口或VBDIF接口。
- 收到的报文的源IP地址与报文入接口的IP地址相同。
- 收到的报文的以太报文头的源MAC以及ARP报文内的源MAC都与接口MAC不同。
- 收到的报文源MAC地址不是VRRP虚MAC。
当配置check-all参数，如果设备收到ARP报文的源IP地址和本机的IP地址相同，设备就认为该ARP报文是与网关地址冲突的ARP报文。
当配置check-all参数后，ARP防网关冲突攻击功能比不配置该参数时更强，此时当检测到网关被仿冒后，网关会产生告警，并立即发送免费ARP报文，使用户主机重新刷新正确的ARP表项。
