Configuración de las propiedades de inspección del protocolo de resolución de direcciones (ARP) en los switches apilables de la serie Sx500

Objetivo

El protocolo de resolución de direcciones (ARP) funciona en la capa 2, la capa de enlace de datos, del modelo OSI y proporciona la asignación de traducción de la dirección IP a la dirección MAC del host de destino mediante una tabla de búsqueda también conocida como caché ARP. 

La Inspección ARP se establece para evitar el envenenamiento de la memoria caché ARP, que si se realiza correctamente puede permitir que un tercero malicioso intercepte y controle el tráfico de la red. El objetivo de este documento es configurar las propiedades de inspección ARP en los switches apilables de la serie Sx500.

Para que la Inspección ARP funcione correctamente, las siguientes configuraciones deben completarse en el mismo orden que se indica a continuación:

1. Propiedades de inspección ARP, que se trata en este artículo.
2. Configure los Parámetros de la Interfaz, consulte el artículo Configuración de la Interfaz de Inspección del Protocolo de Resolución de Direcciones (ARP) en los Switches apilables de la Serie Sx500 para esta configuración.
3. Configure las reglas de control de acceso y control de acceso , consulte el artículo Configuración de las reglas de control de acceso ARP y las reglas de control de acceso en los switches apilables de la serie Sx500 para esta configuración.
4. Configure los Parámetros de VLAN, consulte el artículo Configuración de los Parámetros de VLAN de Inspección del Protocolo de resolución de direcciones (ARP) en los Switches apilables de la Serie Sx500 para esta configuración

Dispositivos aplicables

• Switches apilables serie Sx500

Versión del software

• 1.3.0.62

Propiedades de inspección ARP

Paso 1. Inicie sesión en la utilidad de configuración web y elija Security > ARP Inspection > Properties. Se abre la página Propiedades:

Paso 2. En el campo ARP Inspection Status , marque Enable para habilitar la función de inspección ARP. Esta función está desactivada de forma predeterminada.

Nota: La inspección ARP se realizará solamente en interfaces no confiables. Los paquetes de las interfaces de confianza se reenvían. Puede configurar interfaces de confianza en la página Configuración de interfaz.

Paso 3. En el campo ARP Packet Validation, marque Enable para habilitar la validación de paquetes en ARP. Esta función está desactivada de forma predeterminada. Si se marca este campo, se compararán los siguientes valores con las bases de datos existentes para evitar ataques externos:

• MAC de origen: la dirección MAC de origen del paquete en el encabezado Ethernet se compara con la dirección MAC del remitente en la solicitud ARP. Esta verificación se realiza tanto en las solicitudes ARP como en las respuestas.
• MAC de destino: la dirección MAC de destino del paquete en el encabezado Ethernet se compara con la dirección MAC de la interfaz de destino. Esta verificación se realiza sólo para las respuestas ARP.
• Direcciones IP: compara el contenido de datos ARP para direcciones IP inesperadas e inválidas. Las direcciones IP incluyen 0.0.0.0, 255.255.255.255 y todas las direcciones IP Multicast.

Además, la inspección ARP utiliza una base de datos de enlace de indagación DHCP si la indagación DHCP está habilitada para contrarrestar la verificación de la dirección IP del paquete además de sus reglas de control de acceso. Consulte el artículo titulado DHCP Snooping Binding Database Configuration on Sx500 Series Stackable Switches para obtener más información sobre la configuración de la base de datos de enlace de indagación DHCP. Es posible que pueda ir a la página de configuración de la base de datos de enlace de detección DHCP haciendo clic en el enlace de la base de datos de enlace de detección de DHCP en la parte superior de la página Propiedades.

Paso 4. En el campo Intervalo de búfer de registro, haga clic en uno de los botones de opción siguientes:

• Frecuencia de reintento: habilita los mensajes SYSLOG para el envío de paquetes perdidos. Introduzca la frecuencia con la que se envían los mensajes. La frecuencia predeterminada es de 5 segundos. El intervalo va de 0 a 86400 segundos.
• Nunca: inhabilita SYSLOG para mensajes de paquetes descartados.

Paso 5. Haga clic en Aplicar para realizar los cambios. Se definen los parámetros y se actualiza el archivo de configuración en ejecución.