目标

地址解析协议(ARP)将设备的IP地址映射到同一设备的MAC地址。ARP检测用于保护网络免受ARP攻击。当数据包到达定义为不受信任的接口（端口/LAG）时，ARP检测会将数据包的IP地址和MAC地址与ARP访问控制规则中先前定义的IP地址和MAC地址进行比较。如果地址匹配，则数据包被视为有效并被转发。本文介绍如何创建ARP访问控制组、如何向ARP访问控制组添加规则，以及如何将ARP访问控制组配置到SF/SG 300系列托管交换机上的VLAN。

要针对ARP攻击创建保护，必须执行以下几个步骤：

·必须在交换机上启用ARP检测。  有关帮助，请参阅300系列托管交换机上的地址解析协议(ARP)检测属性配置文章。

· ARP检测只能对被视为不可信的接口执行。要将接口配置为受信任或不受信任，请参阅300系列托管交换机上的地址解析协议(ARP)检测属性配置文章。

·创建ARP访问控制组。ARP访问控制组是允许在不受信任接口上访问的不同设备的IP地址和MAC地址的列表。

·要向ARP访问控制组添加其他设备，必须创建其他ARP访问控制规则。

·将ARP访问控制组分配给VLAN。但是，您只能为每个VLAN配置一个ARP访问控制组。

适用设备

· SF/SG 300系列托管交换机

软件版本

•1.3.0.62

ARP访问控制配置

创建ARP访问控制组

步骤1.登录到Web配置实用程序，然后选择Security > ARP Inspection > ARP Access Control。ARP Access Control(ARP访问控制)页打开：

步骤2.单击“添加”。系统将显示Add ARP Access Control窗口。

步骤3.在ARP Access Control Name字段中输入访问控制组的所需名称。

步骤4.在IP Address字段中输入要分配给访问控制的IP地址。

步骤5.在MAC Address字段中输入要分配给访问控制的MAC地址。

注意：IP地址和MAC地址应指代同一设备。  这是交换机验证设备是否可信的方式。

步骤6.单击Apply应用更改，然后单击Close退出Add ARP Access Control Name窗口。

添加ARP访问控制规则

注意：您必须拥有ARP访问控制组才能添加ARP访问控制规则。如果您尚未完成上一节，请完成。

步骤1.登录到Web配置实用程序，然后选择Security > ARP Inspection > ARP control rules。系统将打开“ARP访问控制规则”页：

注意：如果您有许多ARP访问控制名称，请使用过滤器功能过滤掉不需要的ARP访问控制名称。

步骤2.单击“添加”。系统将显示Add ARP Access Control Rules窗口。

步骤3.从ARP Access Control Name下拉列表中，选择访问控制名称以向其添加其他规则。

步骤4.在IP Address字段中输入要分配给访问控制的IP地址。

步骤5.在MAC Address字段中输入要分配给访问控制的MAC地址。

注意：输入的地址对应是要添加到访问控制组的新设备。

步骤6.单击Apply应用更改，然后单击Close退出Add ARP Access Control Name窗口。

配置VLAN的ARP访问控制

注意：每个VLAN只能添加一个ARP访问控制组。  使用ARP访问控制规则将多台设备添加到ARP访问控制组，然后将该组配置到VLAN。

步骤1.登录到Web配置实用程序，然后选择Security > ARP Inspection > VLAN Settings。“VLAN设置”页打开：

步骤2.在Available VLANs字段中，单击要向其添加ARP访问控制组的VLAN，然后单击> 按钮将其移至Enabled VLANs字段。

步骤3.单击Apply启用VLAN并允许添加ARP访问控制。

步骤4.单击Add将ARP访问控制添加到VLAN。  系统将显示“VLAN设置”窗口。

步骤5.从VLAN下拉列表中选择VLAN。

步骤6.从ARP Access Control Name下拉列表中选择要应用到该VLAN的ARP Access Control Name。

步骤7.单击Apply应用更改，然后单击Close退出VLAN Settings窗口。VLAN设置表应显示您选择的VLAN具有相应的ARP访问控制。