Configuratie van adresresolutie Protocol (ARP)-inspectie op ESW2-350G-switches

Doel

Adres Resolutie Protocol (ARP) wordt gebruikt om een IP-adres op te lossen in het MAC-adres van de bestemming. Dit werkt op Layer 2 van het OSI-model. Het gebruikt een uitkijktabel (ARP cache) om het IP-adres op te slaan naar MAC-adrestoewijzing. ARP inspectie wordt gebruikt om ARP cache vergiftiging te voorkomen. ARP cache vergiftiging kan ertoe leiden dat onbevoegde gebruikers het netwerkverkeer besturen en onderscheppen.

Dit artikel legt uit hoe u ARP-inspectie-configuratie kunt configureren op ESW2-350G-switches.

Toepasselijke apparaten

・ ESW2-350G
・ ESW2-350G-DC

Softwareversie

・ v1.2.6.28

Stel ARP-inspectie eigenschappen in

Stap 1. Meld u aan bij het web configuratieprogramma en kies Beveiliging > ARP-inspectie > Eigenschappen. De pagina Eigenschappen wordt geopend:

Stap 2. In het veld ARP Inspection Status schakelt u de ARP-inspectie in. Deze optie is standaard uitgeschakeld.

Opmerking: de ARP-inspectie wordt alleen uitgevoerd op onvertrouwde interfaces. Packets van vertrouwde interfaces worden doorgestuurd. 

Stap 3. In het veld ARP Packet validatie schakelt u de pakketvalidatie in ARP in. Deze optie is standaard uitgeschakeld. Als dit veld afgevinkt is, worden de volgende waarden vergeleken met de bestaande databases om aanvallen van buitenaf te voorkomen:

・ Bron MAC — Het bron-MAC-adres van het pakket in de Ethernet-header wordt vergeleken met het MAC-adres van de zender in het ARP-verzoek. Deze controle wordt uitgevoerd op zowel ARP verzoeken als antwoorden.

・ Bestemming MAC — Het bestemmings MAC-adres van het pakket in de Ethernet-header wordt vergeleken met het MAC-adres van de doelinterface. Deze controle wordt alleen uitgevoerd voor ARP-responsen.

・ IP-adressen - Hiermee worden de ARP-gegevensinhoud voor ongeldige en onverwachte IP-adressen vergeleken. IP-adressen omvatten 0.0.0.0, 25.255.255.255 en alle IP-multicast adressen.

Opmerking: ARP-inspectie gebruikt ook een DHCP-snooping-bindende database (als DHCP-snuffelen is ingeschakeld) om naast de toegangscontroleregels het IP-adres van het pakket te controleren. Raadpleeg het artikel DHCP Snooping Binding Database Configuration op ESW2-350G-switches voor meer informatie.

Stap 4. Klik in het veld Log Buffer Interval op een van de radioknoppen:

・ Frequentie opnieuw bekijken — Hiermee kunnen SYSLOG-berichten voor geworpen pakketten worden verzonden. Geef de frequentie op waarmee de berichten worden verzonden. De standaardfrequentie is 5 seconden. Het bereik loopt van 0 tot 86400 seconden.

・ Nooit — schakelt SYSLOG verbroken pakketberichten uit.

Stap 5. Klik op Toepassen om de wijzigingen aan te brengen. De instellingen worden gedefinieerd en het configuratiebestand is bijgewerkt.