ARP 攻击怎么防
ARP 协议本身没有认证机制，任何主机都能声称自己是某个地址，由此衍生出两类常见问题：一是伪造大量 ARP 请求做泛洪，把交换机的 ARP 表塞满、把 CPU 顶高；二是伪造网关或他人的 ARP 响应做欺骗，劫持同网段的流量。华为 S 系列交换机的防护手段分三层：对 ARP 报文做速率限制，对单端口可学习的 ARP 条目数设上限，以及通过与 DHCP Snooping 绑定表联动做合法性检测。
基本信息
| 适用场景 | 抑制 ARP 泛洪与地址欺骗 |
|---|---|
| 适用设备 | 华为 S 系列交换机 |
| 主要手段 | ARP 报文限速、接口 ARP 表项限制、联动绑定表检测 |
| 思科对应 | 动态 ARP 检测（DAI）框架下的检查与限速 |
| H3C 对应 | ARP 检测（arp detection）与端口限速 |
典型使用场景
- ARP 表被占满：设备上报表项耗尽或新用户无法正常通信
- 接入端口异常：某端口 ARP 报文速率远超正常水平，疑似扫描或攻击
- 防网关欺骗：结合绑定表检测，丢弃伪造网关的 ARP 报文
- 教学楼与宿舍网：终端数量多、流动性强，ARP 类问题高发
- 安全加固验收：按基线要求落实限速与检测措施
华为 VRP
华为 VRP
[Huawei] arp anti-attack rate-limit enable
[Huawei] arp anti-attack rate-limit 100 ! 全局 ARP 报文限速
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] arp limit 50 ! 该接口可学习的 ARP 表项上限
[Huawei-GigabitEthernet0/0/1] quit
<Huawei> display arp anti-attack configuration思科 IOS 与 H3C
思科 IOS 与 H3C
! 思科：在动态 ARP 检测框架下限速
SW-CORE-01(config)# interface GigabitEthernet0/1
SW-CORE-01(config-if)# ip arp inspection limit rate 100 burst interval 5
SW-CORE-01(config)# ip arp inspection vlan 10
! H3C：ARP 检测 + 端口限速
[H3C] arp detection enable
[H3C-GigabitEthernet1/0/1] arp detection trust ! 上联口设为信任
[H3C-GigabitEthernet1/0/1] arp rate-limit 100三厂防护对照
| 防护目标 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 报文限速 | arp anti-attack rate-limit | ip arp inspection limit rate | arp rate-limit |
| 表项限制 | 接口下 arp limit | 端口安全或 DAI 配合 | 端口安全或检测配合 |
| 合法性检测 | 与 DHCP Snooping 绑定表联动 | 动态 ARP 检测（DAI） | arp detection |
| 信任端口 | 上联口单独放行 | DAI 信任接口 | arp detection trust |
限速与表项限制保护的是设备资源，防欺骗靠的是合法性检测。两类手段针对的问题不同，只做限速无法阻止 ARP 欺骗，只做检测也无法避免泛洪把设备资源耗尽。
上联口与服务器端口通常要设为信任或豁免检测，否则合法的跨网段通信会被误拦，表现为整段业务时通时不通。