DAI 拦住伪造网关的 ARP
动态 ARP 检测（DAI）是思科交换机上的接入安全特性：它把端口学到的 MAC 与 IP 绑定关系记在 DHCP Snooping 绑定表或静态绑定表里，然后逐条校验入方向 ARP 报文的合法性，源地址与绑定表不符的 ARP 直接丢弃。这样局域网里伪造网关或伪造主机 IP 的中间人攻击就失效了。它的前提非常明确——必须已有可信的绑定表，否则检查无据可依，合法 ARP 也会被一起丢掉。
基本信息
| 适用平台 | 思科 Catalyst 系列交换机；华为与 H3C 有对应机制 |
|---|---|
| 前置条件 | 启用 DHCP Snooping（或配置静态绑定表） |
| 关键命令 | ip arp inspection vlan、ip arp inspection trust、ip source binding |
| 权限要求 | 全局配置模式与接口视图 |
| 方向性 | 只校验入方向 ARP，上行与网关侧端口需要显式信任 |
典型使用场景
- 接入区防中间人：防止终端伪造网关地址窃取流量
- 配合 DHCP Snooping 加固：绑定表由动态学习自动维护
- 静态地址终端场景：给服务器与打印机配置静态绑定表后再启用 DAI
- 合规要求：等保与接入安全规范常把 ARP 防护列为必查项
- 排障定位：整网 ARP 异常时确认是否为 DAI 误拦
思科 IOS
思科 IOS
SW-CORE-01(config)# ip dhcp snooping
SW-CORE-01(config)# ip dhcp snooping vlan 10
SW-CORE-01(config)# ip arp inspection vlan 10 # 在 VLAN 10 上启用 DAI
SW-CORE-01(config)# interface GigabitEthernet0/24
SW-CORE-01(config-if)# ip dhcp snooping trust # 上行口信任
SW-CORE-01(config-if)# ip arp inspection trust # 上行口不再做 ARP 校验
SW-CORE-01# show ip arp inspection vlan 10 # 查看统计与丢弃计数
! 静态地址终端：ip source binding 0000.1111.2222 vlan 10 10.1.1.5 interface Gi0/1华为 VRP
华为 VRP
[Huawei] dhcp snooping enable
[Huawei] dhcp snooping enable vlan 10
[Huawei] interface GigabitEthernet0/0/24
[Huawei-GigabitEthernet0/0/24] dhcp snooping trusted # 上行口信任
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] arp anti-attack check user-bind enable
<Huawei> display arp anti-attack configuration allH3C Comware
H3C Comware
[H3C] arp detection enable
[H3C] interface GigabitEthernet1/0/24
[H3C-GigabitEthernet1/0/24] arp detection trust # 上行口信任
! 用户接入端口默认参与 ARP 合法性检查
<H3C> display arp detection statistics三厂机制对照
| 对比项 | 思科 DAI | 华为 ARP 绑定表检测 | H3C ARP Detection |
|---|---|---|---|
| 绑定表来源 | DHCP Snooping 或 ip source binding | DHCP Snooping 或静态绑定 | DHCP Snooping 或静态绑定 |
| 启用命令 | ip arp inspection vlan | arp anti-attack check user-bind enable | arp detection enable |
| 上行口信任 | ip arp inspection trust | dhcp snooping trusted | arp detection trust |
| 查看命令 | show ip arp inspection | display arp anti-attack configuration | display arp detection statistics |
| 无绑定表后果 | 合法 ARP 也被丢弃 | 检查无依据，需先建绑定 | 检查无依据，需先建绑定 |
启用 DAI 前必须先保证绑定表可用：上行口与网关侧端口都要打上信任标记，否则合法的 ARP 会被成片丢弃，整网顷刻瘫痪。变更前记录管理地址与 Console 可达性，最好分 VLAN 灰度启用并观察丢弃计数。