Configuração das propriedades de inspeção do Address Resolution Protocol (ARP) em switches empilháveis série Sx500

Objetivo

O Address Resolution Protocol (ARP) opera na Camada 2, a camada de enlace de dados, do modelo OSI e fornece o mapeamento de conversão do endereço IP para o endereço MAC do host de destino usando uma tabela de pesquisa também conhecida como cache ARP. 

A inspeção ARP é estabelecida para impedir o envenenamento do cache ARP, que, se bem-sucedido, pode permitir que um terceiro mal-intencionado intercepte e controle o tráfego da rede. O objetivo deste documento é configurar as propriedades de inspeção ARP em switches empilháveis Sx500 Series.

Para que a inspeção ARP funcione corretamente, as seguintes configurações precisam ser concluídas na mesma ordem indicada abaixo:

1. Propriedades da inspeção ARP, que é abordada neste artigo.
2. Defina as configurações da interface, consulte o artigo Address Resolution Protocol (ARP) Inspection Interface Settings on Sx500 Series Stackable Switches para esta configuração.
3. Configure as regras de Controle de Acesso e Controle de Acesso , consulte o artigo Configuração de Regras de Controle de Acesso e Controle de Acesso ARP em Switches Empilháveis Sx500 Series para esta configuração.
4. Defina as configurações de VLAN, consulte o artigo Address Resolution Protocol (ARP) Inspection VLAN Settings Configuration on Sx500 Series Stackable Switches para esta configuração

Dispositivos aplicáveis

• Switches empilháveis Sx500 Series

Versão de software

• 1.3.0.62

Propriedades da inspeção ARP

Etapa 1. Faça login no utilitário de configuração da Web e escolha Security > ARP Inspection > Properties. A página Propriedades é aberta:

Etapa 2. No campo Status da inspeção ARP, marque Habilitar para habilitar o recurso de inspeção ARP. Por padrão, este recurso está desabilitado.

Note: A inspeção ARP será executada somente em interfaces não confiáveis. Pacotes de interfaces confiáveis são encaminhados. Você pode configurar interfaces confiáveis na página Configurações da interface.

Etapa 3. No campo Validação de pacote ARP, marque Habilitar para habilitar a validação de pacote no ARP. Esta funcionalidade está desativada por predefinição. Se este campo estiver marcado, os seguintes valores serão comparados com os bancos de dados existentes para evitar ataques externos:

• MAC origem — O endereço MAC origem do pacote no cabeçalho Ethernet é comparado ao endereço MAC do remetente na solicitação ARP. Essa verificação é realizada em solicitações e respostas ARP.
• MAC de destino — O endereço MAC de destino do pacote no cabeçalho Ethernet é comparado ao endereço MAC da interface de destino. Essa verificação é executada somente para respostas ARP.
• Endereços IP — Compara o conteúdo de dados ARP para endereços IP inválidos e inesperados. Os endereços IP incluem 0.0.0.0, 255.255.255.255 e todos os endereços IP multicast.

Além disso, a inspeção ARP usa um banco de dados de associação de rastreamento de DHCP se o rastreamento de DHCP estiver habilitado para contador para verificar o endereço IP do pacote além de suas regras de controle de acesso. Consulte o artigo intitulado DHCP Snooping Binding Database Configuration on Sx500 Series Stackable Switches para obter mais informações sobre a configuração do banco de dados de associação de rastreamento de DHCP. Você pode ir para a página de configuração do banco de dados DHCP Snooping Binding clicando no link do banco de dados DHCP Snooping Binding na parte superior da página Propriedades.

Etapa 4. No campo Log Buffer Interval (Intervalo de buffer de registro), clique em um dos seguintes botões de opção:

• Frequência de repetição — Ativa mensagens SYSLOG para pacotes descartados a serem enviados. Digite a frequência com que as mensagens são enviadas. A frequência padrão é de 5 segundos. O intervalo vai de 0 a 86400 segundos.
• Nunca — Desabilita mensagens de pacote descartadas do SYSLOG.

Etapa 5. Clique em Aplicar para fazer as alterações. As configurações são definidas e o arquivo de configuração atual é atualizado.