華為交換機(jī)acl控制列表設(shè)置-資料下載頁
2025-06-30 18:59本頁面
【正文】 網(wǎng)關(guān)的arp響應(yīng)報(bào)文。三層交換機(jī)實(shí)現(xiàn)仿冒網(wǎng)關(guān)的ARP防攻擊一、組網(wǎng)需求：1. 三層交換機(jī)實(shí)現(xiàn)防止同網(wǎng)段的用戶仿冒網(wǎng)關(guān)IP的ARP攻擊二、組網(wǎng)圖圖2三層交換機(jī)防ARP攻擊組網(wǎng)三、配置步驟，需要配置過濾源IP是網(wǎng)關(guān)的ARP報(bào)文的ACL規(guī)則，配置如下ACL規(guī)則：acl number 5000rule 0 deny 0806 ffff 24 64010105 ffffffff 40rule0禁止S3526E的所有端口接收冒充網(wǎng)關(guān)的ARP報(bào)文。[S3526E] packetfilter usergroup 5000仿冒他人IP的ARP防攻擊一、組網(wǎng)需求：作為網(wǎng)關(guān)的設(shè)備有可能會(huì)出現(xiàn)錯(cuò)誤ARP的表項(xiàng)，因此在網(wǎng)關(guān)設(shè)備上還需對(duì)用戶仿冒他人IP的ARP攻擊報(bào)文進(jìn)行過濾。二、組網(wǎng)圖：參見圖1和圖2三、配置步驟：，當(dāng)PCB發(fā)送源IP地址為PCD的arp reply攻擊報(bào)文，源mac是PCB的mac (000d88f809fa)，源ip是PCD的ip()，目的ip和mac是網(wǎng)關(guān)（3552P）的，這樣3552上就會(huì)學(xué)習(xí)到錯(cuò)誤的arp，如下所示： 錯(cuò)誤 arp表項(xiàng) IP Address MAC Address VLAN ID Port Name Aging Type 000d88f809fa 1 Ethernet0/2 20 Dynamic 000f3d8145b4 1 Ethernet0/2 20 Dynamic從網(wǎng)絡(luò)連接可以知道PCD的arp表項(xiàng)應(yīng)該學(xué)習(xí)到端口E0/8上，而不應(yīng)該學(xué)習(xí)到E0/2端口上。但實(shí)際上交換機(jī)上學(xué)習(xí)到該ARP表項(xiàng)在E0/2。上述現(xiàn)象可以在S3552上配置靜態(tài)ARP實(shí)現(xiàn)防攻擊：arp static 000f3d8145b4 1 e0/8 S3526C上也可以配置靜態(tài)ARP來防止設(shè)備學(xué)習(xí)到錯(cuò)誤的ARP表項(xiàng)。 （S3050C和S3026E系列），除了可以配置靜態(tài)ARP外，還可以配置IP＋MAC＋port綁定，比如在S3026C端口E0/4上做如下操作： am userbind ipaddr macaddr 000d88f809fa int e0/4 端口綁定，仿冒其它設(shè)備的ARP報(bào)文則無法通過，從而不會(huì)出現(xiàn)錯(cuò)誤ARP表項(xiàng)。 四、配置關(guān)鍵點(diǎn)：此處僅僅列舉了部分Quidway S系列以太網(wǎng)交換機(jī)的應(yīng)用。在實(shí)際的網(wǎng)絡(luò)應(yīng)用中，請(qǐng)根據(jù)配置手冊(cè)確認(rèn)該產(chǎn)品是否支持用戶自定義ACL和地址綁定。僅僅具有上述功能的交換機(jī)才能防止ARP欺騙。5，關(guān)于ACL規(guī)則匹配的說明 a) ACL直接下發(fā)到硬件中的情況交換機(jī)中ACL可以直接下發(fā)到交換機(jī)的硬件中用于數(shù)據(jù)轉(zhuǎn)發(fā)過程中的過濾和流分類。此時(shí)一條ACL中多個(gè)子規(guī)則的匹配順序是由交換機(jī)的硬件決定的，用戶即使在定義ACL時(shí)配置了匹配順序也不起作用。ACL直接下發(fā)到硬件的情況包括：交換機(jī)實(shí)現(xiàn)QoS功能時(shí)引用ACL、硬件轉(zhuǎn)發(fā)時(shí)通過ACL過濾轉(zhuǎn)發(fā)數(shù)據(jù)等。b) ACL被上層模塊引用的情況交換機(jī)也使用ACL來對(duì)由軟件處理的報(bào)文進(jìn)行過濾和流分類。此時(shí)ACL子規(guī)則的匹配順序有兩種：config（指定匹配該規(guī)則時(shí)按用戶的配置順序）和auto（指定匹配該規(guī)則時(shí)系統(tǒng)自動(dòng)排序，即按“深度優(yōu)先”的順序）。這種情況下用戶可以在定義ACL的時(shí)候指定一條ACL中多個(gè)子規(guī)則的匹配順序。用戶一旦指定某一條訪問控制列表的匹配順序，就不能再更改該順序。只有把該列表中所有的規(guī)則全部刪除后，才能重新指定其匹配順序。ACL被軟件引用的情況包括：路由策略引用ACL、對(duì)登錄用戶進(jìn)行控制時(shí)引用ACL等。
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1