arp攻擊防御解決方案(編輯修改稿)
2025-06-21 18:00 本頁面
【文章內(nèi)容簡介】 網(wǎng)關(guān)防御 ? 合法 ARP綁定，防御網(wǎng)關(guān)被欺騙 ? ARP數(shù)量限制，防御 ARP泛洪攻擊 1 ? 接入設(shè)備防御 ? 網(wǎng)關(guān) IP/MAC綁定，過濾掉仿冒網(wǎng)關(guān)的報(bào)文 ? 合法用戶 IP/MAC綁定，過濾掉終端仿冒報(bào)文 ? ARP限速 2 ? 客戶端防御 ? 綁定網(wǎng)關(guān)信息 3 防御 ARP攻擊的關(guān)鍵 2 利用合法 IP\MAC對應(yīng)關(guān)系防止非法 ARP報(bào)文對終端和網(wǎng)關(guān)欺騙 獲取合法用戶的 IP\MAC對應(yīng)關(guān)系 1 H3C ARP防范方案 —— DHCP 監(jiān)控模式 ?監(jiān)控 DHCP交互報(bào)文獲取合法用戶的 IPMACport關(guān)系 ?在接入交換機(jī)上綁定，實(shí)現(xiàn)對 ARP報(bào)文的檢查，過濾掉所有非法報(bào)文。 網(wǎng)關(guān) 接入設(shè)備 DHCP響應(yīng) DHCP請求 終端 ?監(jiān)控 DHCP報(bào)文實(shí)現(xiàn)用戶的IP和 MAC綁定 ?配置實(shí)現(xiàn)網(wǎng)關(guān)的 IP和 MAC綁定 ?ARP限速 DHCP Snooping模式 方案適合場景 ? 全網(wǎng)采用動(dòng)態(tài)分配 IP地址方式 ? 接入交換機(jī)采用 H3C支持 DHCP Snooping的產(chǎn)品，比如 E126A， E152 解決方案 ? 第一步：接入交換機(jī)通過 DHCP Snooping監(jiān)控用戶動(dòng)態(tài)申請 IP的過程，獲取用戶的 IPMAC對應(yīng)關(guān)系 ? 第二步：接入交換機(jī)將用戶的 IPMACPORT對應(yīng)關(guān)系進(jìn)行綁定。接入交換機(jī)形成保護(hù)屏障，過濾掉所有 ARP攻擊報(bào)文。 配置命令 全局模式： dhcp－ snooping（全局開關(guān)） VLAN模式： ARP detection enable：（使能 ARP detection enable檢測，限制 ARP報(bào)文數(shù)量） 上行接口： ARP detection trust（ 將上行口配置為信任接口不檢查 ARP） H3C ARP防范方案 —— 認(rèn)證模式 ?利用認(rèn)證客戶端在終端上綁定網(wǎng)關(guān) ARP表項(xiàng)。 網(wǎng)關(guān) 接入設(shè)備 終端 ?監(jiān)控認(rèn)證報(bào)文實(shí)現(xiàn)用戶的 IP和 MAC綁定 ?配置實(shí)現(xiàn)網(wǎng)關(guān)的 IP和 MAC綁定 ?ARP線速 ?CAMS下發(fā)實(shí)現(xiàn)用戶和重要服務(wù)器的 IP和 MAC綁定 ?CAMS下發(fā)實(shí)現(xiàn)網(wǎng)關(guān)的 IP和 MAC綁定 網(wǎng)關(guān)防御 接入設(shè)備防御 客戶端防御 認(rèn)證綁定 Vs. DHCP SNOOPING ? 對網(wǎng)絡(luò)設(shè)備的依賴小，對接入交換機(jī)和網(wǎng)關(guān)的綁定可以根據(jù)網(wǎng)絡(luò)狀況分別使用。 ? 適應(yīng)靜態(tài) IP地址的環(huán)境使用，適合目前多數(shù)現(xiàn)狀。 認(rèn)證綁 定模
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1