目  录

1 ARP攻击防御配置

1.1 ARP防止IP报文攻击配置命令

1.1.1 arp resolving-route enable

1.1.2 arp source-suppression enable

1.1.3 arp source-suppression limit

1.1.4 display arp source-suppression

1.2 ARP主动确认配置命令

1.2.1 arp anti-attack active-ack enable

1.3 源MAC地址固定的ARP攻击检测配置命令

1.3.1 arp anti-attack source-mac

1.3.2 arp anti-attack source-mac aging-time

1.3.3 arp anti-attack source-mac exclude-mac

1.3.4 arp anti-attack source-mac threshold

1.3.5 display arp anti-attack source-mac

1.4 ARP报文限速配置命令

1.4.1 arp rate-limit

1.5 ARP Detection配置命令

1.5.1 arp detection enable

1.5.2 arp detection trust

1.5.3 arp detection validate

1.5.4 display arp detection

1.5.5 display arp detection statistics

1.5.6 reset arp detection statistics

1 ARP攻击防御配置

1.1  ARP防止IP报文攻击配置命令

1.1.1  arp resolving-route enable

【命令】

arp resolving-route enable

undo arp resolving-route enable

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

无

【描述】

arp resolving-route enable命令用来使能ARP黑洞路由功能。undo arp resolving-route enable命令用来关闭ARP黑洞路由功能。

缺省情况下，使能ARP黑洞路由功能。

【举例】

# 使能ARP黑洞路由功能。

<Sysname> system-view

[Sysname] arp resolving-route enable

1.1.2  arp source-suppression enable

【命令】

arp source-suppression enable

undo arp source-suppression enable

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

无

【描述】

arp source-suppression enable命令用来使能ARP源地址抑制功能。undo arp source-suppression enable命令用来恢复缺省情况。

缺省情况下，关闭ARP源地址抑制功能。

相关配置可参考命令display arp source-suppression。

【举例】

# 使能ARP源抑制功能。

<Sysname> system-view

[Sysname] arp source-suppression enable

1.1.3  arp source-suppression limit

【命令】

arp source-suppression limit limit-value

undo arp source-suppression limit

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

limit-value：ARP源抑制的阈值，取值范围为2～1024。

【描述】

arp source-suppression limit命令用来配置ARP源抑制的阈值。undo arp source-suppression limit命令用来恢复缺省情况。

缺省情况下，ARP源抑制的阈值为10。

如果网络中某主机向设备某端口连续发送目标IP地址不能解析的IP报文（当每5秒内的ARP请求报文的流量超过设置的阈值），对于由此IP地址发出的IP报文，设备不允许其触发ARP请求，直至5秒后再处理，从而避免了恶意攻击所造成的危害。

相关配置可参考命令display arp source-suppression。

【举例】

# 配置ARP源抑制的阈值为100。

<Sysname> system-view

[Sysname] arp source-suppression limit 100

1.1.4  display arp source-suppression

【命令】

display arp source-suppression

【视图】

任意视图

【缺省级别】

2：系统级

【参数】

无

【描述】

display arp source-suppression命令用来显示当前ARP源抑制的配置信息。

【举例】

# 显示当前ARP源抑制的配置信息。

<Sysname> display arp source-suppression

 ARP source suppression is enabled

 Current suppression limit: 100

 Current cache length: 16

表1-1 display arp source-suppression显示信息描述表

1.2  ARP主动确认配置命令

1.2.1  arp anti-attack active-ack enable

【命令】

arp anti-attack active-ack enable

undo arp anti-attack active-ack enable

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

无

【描述】

arp anti-attack active-ack enable命令用来使能ARP主动确认功能。undo arp anti-attack active-ack enable命令用来恢复缺省情况。

缺省情况下，关闭ARP主动确认功能。

ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。

【举例】

# 使能ARP主动确认功能。

<Sysname> system-view

[Sysname] arp anti-attack active-ack enable

1.3  源MAC地址固定的ARP攻击检测配置命令

1.3.1  arp anti-attack source-mac

【命令】

arp anti-attack source-mac { filter | monitor }

undo arp anti-attack source-mac [ filter | monitor ]

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

filter：检测到攻击后，打印告警信息，同时对该源MAC地址对应的ARP报文进行过滤。

monitor：检测到攻击后，只打印告警信息，不对该源MAC地址对应的ARP报文进行过滤。

【描述】

arp anti-attack source-mac命令用来使能源MAC地址固定ARP攻击检测功能，并选择检查模式。undo arp anti-attack source-mac命令用来恢复缺省情况。

缺省情况下，源MAC地址固定ARP攻击检测功能处于关闭状态。

使能源MAC固定ARP攻击检测之后，该特性会对上送CPU的ARP报文按照源MAC和VLAN进行统计。当在一定时间（5秒）内收到某固定源MAC地址的ARP报文超过设定的阈值，不同模式的处理方式存在差异：在filter模式下会打印告警信息并对该源MAC地址对应的ARP报文进行过滤；在monitor模式下只进行告警，不过滤ARP报文。

需要注意的是，如果undo命令中没有指定检查模式，则关闭任意检查模式的源MAC固定ARP攻击检测功能。

【举例】

# 使能源MAC固定ARP攻击检测功能，并选择filter检查模式。

<Sysname> system-view

[Sysname] arp anti-attack source-mac filter

1.3.2  arp anti-attack source-mac aging-time

【命令】

arp anti-attack source-mac aging-time time

undo arp anti-attack source-mac aging-time

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

time：源MAC地址固定的ARP攻击检测表项的老化时间，取值范围为60～6000，单位为秒。

【描述】

arp anti-attack source-mac aging-time命令用来配置源MAC地址固定的ARP攻击检测表项的老化时间。undo arp anti-attack source-mac aging-time命令用来恢复缺省情况。

缺省情况下，源MAC地址固定的ARP攻击检测表项的老化时间为300秒，即5分钟。

【举例】

# 配置源MAC地址固定的ARP攻击检测表项的老化时间为60秒。

<Sysname> system-view

[Sysname] arp anti-attack source-mac aging-time 60

1.3.3  arp anti-attack source-mac exclude-mac

【命令】

arp anti-attack source-mac exclude-mac mac-address&<1-10>

undo arp anti-attack source-mac exclude-mac [ mac-address&<1-10> ]

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

mac-address&<1-10>：MAC地址列表。其中，mac-address表示配置的保护MAC地址，格式为H-H-H。&<1-10>表示前面的参数最多可以重复输10次。

【描述】

arp anti-attack source-mac exclude-mac命令用来配置保护MAC。当配置了保护MAC之后，即使该ARP报文中的MAC地址存在攻击也不会被检测过滤。undo arp anti-attack source-mac exclude-mac命令用来取消配置的保护MAC。

缺省情况下，没有配置任何保护MAC。

需要注意的是，如果undo命令中没有指定MAC地址，则取消所有配置的保护MAC。

【举例】

# 配置源MAC固定攻击检查的保护MAC地址为2-2-2。

<Sysname> system-view

[Sysname] arp anti-attack source-mac exclude-mac 2-2-2

1.3.4  arp anti-attack source-mac threshold

【命令】

arp anti-attack source-mac threshold threshold-value

undo arp anti-attack source-mac threshold

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

threshold-value：固定时间内源MAC固定ARP报文攻击检测的阈值，取值范围为10～100。

【描述】

arp anti-attack source-mac threshold命令用来配置源MAC固定ARP报文攻击检测阈值，当在固定的时间（5秒）内收到源MAC固定的ARP报文超过该阈值则认为存在攻击。undo arp anti-attack source-mac threshold命令用来恢复缺省阈值。

缺省情况下，源MAC固定ARP报文攻击检测阈值为50。

【举例】

# 配置源MAC固定ARP报文攻击检测阈值为30。

<Sysname> system-view

[Sysname] arp anti-attack source-mac threshold 30

1.3.5  display arp anti-attack source-mac

【命令】

display arp anti-attack source-mac { slot slot-number | interface interface-type interface-number }

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

interface interface-type interface-number：显示指定接口检测到的源MAC地址固定的ARP攻击检测表项。

slot slot-number：显示指定单板检测到的源MAC地址固定的ARP攻击检测表项。slot-number表示单板的槽位号。

【描述】

display arp anti-attack source-mac命令用来显示检测到的源MAC地址固定的ARP攻击检测表项。

【举例】

# 显示检测到的源MAC地址固定的ARP攻击检测表项。

<Sysname> display arp anti-attack source-mac slot 2

Source-MAC          VLAN ID           Interface             Aging-time

23f3-1122-3344      4094              GE2/0/1                 10

23f3-1122-3355      4094              GE2/0/2                 30

23f3-1122-33ff      4094              GE2/0/3                 25

23f3-1122-33ad      4094              GE2/0/4                 30

23f3-1122-33ce      4094              GE2/0/5                 2

表1-2 display arp anti-attack source-mac命令显示信息描述表

1.4  ARP报文限速配置命令

1.4.1  arp rate-limit

【命令】

arp rate-limit { disable | rate pps drop }

undo arp rate-limit

【视图】

二层以太网接口视图

【缺省级别】

2：系统级

【参数】

disable：不进行限速。

rate pps：ARP限速速率，单位为包每秒（pps），取值范围为50～300。

drop：丢弃超出限速部分的报文。

【描述】

arp rate-limit命令用来开启ARP报文上送限速功能，可以配置端口ARP报文限速速率，配置对超速ARP报文的处理，或者配置取消ARP报文限速。undo arp rate-limit命令用来恢复端口ARP报文限速的缺省值。

缺省情况下，开启ARP报文上送限速功能，ARP限速速率为100。

【举例】

# 配置二层以太网接口GigabitEthernet2/0/1端口ARP报文上送限速为50pps，超过限速部分的报文丢弃。

<Sysname> system-view

[Sysname] interface GigabitEthernet 2/0/1

[Sysname-GigabitEthernet2/0/1] arp rate-limit rate 50 drop

1.5  ARP Detection配置命令

1.5.1  arp detection enable

【命令】

arp detection enable

undo arp detection enable

【视图】

VLAN视图

【缺省级别】

2：系统级

【参数】

无

【描述】

arp detection enable命令用来使能ARP Detection功能，即对ARP报文进行用户合法性检查。undo arp detection enable命令用来关闭ARP Detection功能。

缺省情况下，关闭ARP Detection功能。

【举例】

# 使能ARP Detection功能。

<Sysname> system-view

[Sysname] vlan 1

[Sysname-Vlan1] arp detection enable

1.5.2  arp detection trust

【命令】

arp detection trust

undo arp detection trust

【视图】

二层以太网接口视图

【缺省级别】

2：系统级

【参数】

无

【描述】

arp detection trust命令用来配置端口为ARP信任端口。undo arp detection trust命令用来配置端口为ARP非信任端口。

缺省情况下，端口为ARP非信任端口。

【举例】

# 配置二层以太网接口GigabitEthernet2/0/1为ARP信任端口。

<Sysname> system-view

[Sysname] interface GigabitEthernet 2/0/1

[Sysname-GigabitEthernet2/0/1] arp detection trust

1.5.3  arp detection validate

【命令】

arp detection validate { dst-mac | ip | src-mac } *

undo arp detection validate [ dst-mac | ip | src-mac ] *

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

dst-mac：检查ARP应答报文中的目的MAC地址，是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，无效的报文需要被丢弃。

ip：检查ARP报文源IP和目的IP地址，全0、全1、或者组播IP地址都是不合法的，需要丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。

src-mac：检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致认为有效，否则丢弃。

【描述】

arp detection validate命令用来使能对ARP报文的目的或源MAC地址、IP地址的有效性检查。使能有效性检查时可以指定某一种检查方式也可以配置成多种检查方式的组合。undo arp detection validate命令用来关闭对ARP报文的有效性检查。关闭时可以指定关闭某一种或多种检查，在不指定检查方式时，表示关闭所有有效性检查。

缺省情况下，关闭对ARP报文的目的或源MAC地址、IP地址的有效性检查。

需要注意的是，如果undo命令中没有指定检查方式，则关闭已经配置的所有检查方式。

【举例】

# 使能对ARP报文的MAC地址和IP地址的有效性检查。

<Sysname> system-view

[Sysname] arp detection validate dst-mac src-mac ip

1.5.4  display arp detection

【命令】

display arp detection

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

无

【描述】

display arp detection命令用来显示使能了ARP Detection功能的VLAN。

相关配置可参考arp detection enable。

【举例】

# 显示所有使能了ARP Detection功能的VLAN。

<Sysname> display arp detection

ARP detection is enabled in the following VLANs:

1, 2, 4-5

表1-3 display arp detection命令显示信息描述表

1.5.5  display arp detection statistics

【命令】

display arp detection statistics [ interface interface-type interface-number ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

interface interface-type interface-number：显示指定接口的统计信息。interface-type interface-number用来指定接口类型和编号。

【描述】

display arp detection statistics命令用来显示ARP Detection功能报文检查的丢弃计数的统计信息。按端口显示用户合法性检查，报文有效性检查和ARP报文上送限速的统计情况，只显示丢弃的情况。不指定端口时，显示所有端口的统计信息。

【举例】

# 显示ARP Detection功能报文检查的丢弃计数的统计信息。

<Sysname> display arp detection statistics

State: U-Untrusted  T-Trusted

ARP packets dropped by ARP inspect checking:

Interface(State)           IP            Src-MAC       Dst-MAC       Inspect

BAGG1(U)                   0             0             0             0

GE2/0/1(T)                 0             0             0             0

GE2/0/2(U)                 0             0             0             0

GE2/0/3(U)                 0             0             0             0

GE2/0/4(U)                 0             0             0             0

GE2/0/5(U)                 0             0             0             0

GE2/0/6(U)                 0             0             0             0

GE2/0/7(U)                 0             0             0             0

GE2/0/8(U)                 0             0             0             0

GE2/0/9(U)                 0             0             0             0

表1-4 display arp detection statistics命令显示信息描述表

1.5.6  reset arp detection statistics

【命令】

reset arp detection statistics [ interface interface-type interface-number ]

【视图】

用户视图

【缺省级别】

2：系统级

【参数】

interface interface-type interface-number：表示清除指定接口下的统计信息。interface-type interface-number用来指定接口类型和编号。

【描述】

reset arp detection statistics命令用来清除ARP Detection的统计信息。不指定接口时，清除所有的ARP Detection统计信息。

【举例】

# 清除所有的ARP Detection统计信息。

<Sysname> reset arp detection statistics