Configuração das propriedades de inspeção do Address Resolution Protocol (ARP) nos switches ESW2-350G

Objetivo

O Address Resolution Protocol (ARP) é usado para resolver um endereço IP no endereço MAC do destino. Isso opera na camada 2 do modelo OSI. Ele usa uma tabela de pesquisa (cache ARP) para armazenar o endereço IP para o mapeamento de endereços MAC. A inspeção ARP é usada para impedir o envenenamento do cache ARP. O envenenamento do cache ARP pode levar usuários não autorizados a controlar e interceptar o tráfego de rede.

Este artigo explica como configurar a configuração da inspeção ARP em switches ESW2-350G.

Dispositivos aplicáveis

ESW2-350G
ESW2-350G-DC

Versão de software

•v1.2.6.28

Configurar propriedades de inspeção ARP

Etapa 1. Faça login no utilitário de configuração da Web e escolha Security > ARP Inspection > Properties. A página Propriedades é aberta:

Etapa 2. No campo Status da inspeção ARP, marque Enable (Habilitar) para habilitar o recurso de inspeção ARP. Por padrão, este recurso está desabilitado.

Observação: a inspeção ARP é executada somente em interfaces não confiáveis. Pacotes de interfaces confiáveis são encaminhados. 

Etapa 3. No campo Validação de pacote ARP, marque Habilitar para habilitar a validação de pacote no ARP. Por padrão, este recurso está desabilitado. Se esse campo estiver marcado, os seguintes valores serão comparados com os bancos de dados existentes para evitar ataques externos:

MAC origem — O endereço MAC origem do pacote no cabeçalho Ethernet é comparado ao endereço MAC do remetente na solicitação ARP. Essa verificação é realizada em solicitações e respostas ARP.

MAC de destino — O endereço MAC de destino do pacote no cabeçalho Ethernet é comparado com o endereço MAC da interface de destino. Essa verificação é executada somente para respostas ARP.

Endereços IP — Compara o conteúdo de dados ARP para endereços IP inválidos e inesperados. Os endereços IP incluem 0.0.0.0, 255.255.255.255 e todos os endereços IP Multicast.

Note: A inspeção ARP também usa um banco de dados de associação de rastreamento de DHCP (se o rastreamento de DHCP estiver ativado) para verificar o endereço IP do pacote, além de suas regras de controle de acesso. Consulte o artigo intitulado DHCP Snooping Binding Database Configuration on ESW2-350G Switches para obter mais informações.

Etapa 4. No campo Log Buffer Interval (Intervalo de buffer de registro), clique em um dos botões de opção:

Frequência de repetição — Permite que mensagens SYSLOG sejam enviadas para pacotes descartados. Digite a frequência com que as mensagens são enviadas. A frequência padrão é de 5 segundos. O intervalo vai de 0 a 86400 segundos.

Nunca — Desabilita mensagens de pacote descartadas do SYSLOG.

Etapa 5. Clique em Aplicar para fazer as alterações. As configurações são definidas e o arquivo de configuração atual é atualizado.