arp攻擊防御解決方案(編輯修改稿)
2025-06-21 18:00 本頁面
【文章內(nèi)容簡介】 網(wǎng)關防御 ? 合法 ARP綁定，防御網(wǎng)關被欺騙 ? ARP數(shù)量限制，防御 ARP泛洪攻擊 1 ? 接入設備防御 ? 網(wǎng)關 IP/MAC綁定，過濾掉仿冒網(wǎng)關的報文 ? 合法用戶 IP/MAC綁定，過濾掉終端仿冒報文 ? ARP限速 2 ? 客戶端防御 ? 綁定網(wǎng)關信息 3 防御 ARP攻擊的關鍵 2 利用合法 IP\MAC對應關系防止非法 ARP報文對終端和網(wǎng)關欺騙 獲取合法用戶的 IP\MAC對應關系 1 H3C ARP防范方案 —— DHCP 監(jiān)控模式 ?監(jiān)控 DHCP交互報文獲取合法用戶的 IPMACport關系 ?在接入交換機上綁定，實現(xiàn)對 ARP報文的檢查，過濾掉所有非法報文。 網(wǎng)關 接入設備 DHCP響應 DHCP請求 終端 ?監(jiān)控 DHCP報文實現(xiàn)用戶的IP和 MAC綁定 ?配置實現(xiàn)網(wǎng)關的 IP和 MAC綁定 ?ARP限速 DHCP Snooping模式 方案適合場景 ? 全網(wǎng)采用動態(tài)分配 IP地址方式 ? 接入交換機采用 H3C支持 DHCP Snooping的產(chǎn)品，比如 E126A， E152 解決方案 ? 第一步：接入交換機通過 DHCP Snooping監(jiān)控用戶動態(tài)申請 IP的過程，獲取用戶的 IPMAC對應關系 ? 第二步：接入交換機將用戶的 IPMACPORT對應關系進行綁定。接入交換機形成保護屏障，過濾掉所有 ARP攻擊報文。 配置命令 全局模式： dhcp－ snooping（全局開關） VLAN模式： ARP detection enable：（使能 ARP detection enable檢測，限制 ARP報文數(shù)量） 上行接口： ARP detection trust（ 將上行口配置為信任接口不檢查 ARP） H3C ARP防范方案 —— 認證模式 ?利用認證客戶端在終端上綁定網(wǎng)關 ARP表項。 網(wǎng)關 接入設備 終端 ?監(jiān)控認證報文實現(xiàn)用戶的 IP和 MAC綁定 ?配置實現(xiàn)網(wǎng)關的 IP和 MAC綁定 ?ARP線速 ?CAMS下發(fā)實現(xiàn)用戶和重要服務器的 IP和 MAC綁定 ?CAMS下發(fā)實現(xiàn)網(wǎng)關的 IP和 MAC綁定 網(wǎng)關防御 接入設備防御 客戶端防御 認證綁定 Vs. DHCP SNOOPING ? 對網(wǎng)絡設備的依賴小，對接入交換機和網(wǎng)關的綁定可以根據(jù)網(wǎng)絡狀況分別使用。 ? 適應靜態(tài) IP地址的環(huán)境使用，適合目前多數(shù)現(xiàn)狀。 認證綁 定模
教學課件相關推薦
鄂ICP備17016276號-1