ARP-地址解析协议

ARP表（默认老化时间1200秒）

• IP address 表示该主机的IP地址
• MAC address 表示该主机的MAC地址
• VID 表示该主机所处广播域
• Interface/Link ID 表示该主机端口
• Aging 老化时间（动态老化时间单位为分钟，静态没有老化时间）
• Type：动态/静态

ARP地址解析过程:

假设主机A和B在同一个网段，主机A要向主机B发送信息。具体的地址解析过程如下：

1. 主机A首先查看自己的ARP表，确定其中是否包含有主机B对应的ARP表项。如果找到了对应的MAC地址，则主机A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给主机B。
2. 如果主机A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为主机A的IP地址和MAC地址，目标IP地址和目标MAC地址为主机B的IP地址和全0的MAC地址。由于ARP请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请求的主机（即主机B）会对该请求进行处理。
3. 主机B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端（即主机A）的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A，其中包含了自己的MAC地址。
4. 主机A收到ARP响应报文后，将主机B的MAC地址加入到自己的ARP表中以用于后续报文的转发，同时将IP数据包进行封装后发送出去。

免费ARP

  免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。设备通过对外发送免费ARP报文来实现以下功能：

• 确定是否存在IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。（同理可检测VRRP虚IP地址）
• 设备改变了硬件地址，通过发送免费ARP报文通知其它设备更新ARP表项。

免费ARP报文学习功能的作用

  使能了免费ARP报文学习功能后，设备会根据收到的免费ARP报文中携带的信息（源IP地址、源MAC地址）对自身维护的ARP表进行修改。设备先判断ARP表中是否存在与此免费ARP报文源IP地址对应的ARP表项：

• 如果没有对应的ARP表项，设备会根据该免费ARP报文中携带的信息新建ARP表项；
• 如果存在对应的ARP表项，设备会根据该免费ARP报文中携带的信息更新对应的ARP表项。

  关闭免费ARP报文学习功能后，会更新已存在的对应ARP表项。可节省ARP表项资源。

定时发送免费ARP功能的作用

  定时发送免费ARP功能可以及时通知下行设备更新ARP表项或者MAC地址表项，主要应用场景如下：

防止仿冒网关的ARP攻击

  如果攻击者仿冒网关发送免费ARP报文，会使得被欺骗的主机访问网关的流量，被重定向到一个错误的MAC地址，导致其它主机用户无法正常访问网络。为了尽量避免这种仿冒网关的ARP攻击，可以在网关的接口上使能定时发送免费ARP功能。使能该功能后，网关接口上周期性发送免费ARP报文。让主机都学习到正确的网关，从而正常访问网络。

防止主机ARP表项老化

  在实际环境中，当网络负载较大或接收端主机的CPU占用率较高时，可能存在ARP报文被丢弃或主机无法及时处理接收到的ARP报文等现象。二者之间的流量就会发生中断。因此可以在网关的接口上使能定时发送免费ARP功能。网关接口上将周期性发送接口免费ARP报文。这样，接收端主机可以及时更新ARP映射表，从而防止了上述流量中断现象。

及时更新模糊终结VLAN内设备的MAC地址表

  三层以太网子接口上同时配置了模糊终结多个VLAN和VRRP备份组时，为了避免发送过多的VRRP通告报文，需要关闭VLAN终结支持广播/组播功能，并配置VRRP控制VLAN。此时可以在三层以太网子接口上使能定时发送免费ARP功能。当VRRP主备状态切换时，各个模糊终结VLAN内设备上可以及时更新为正确的MAC地址表项。

代理ARP

  如果ARP请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理ARP功能的设备就可以回答该请求，这个过程称作代理ARP（Proxy ARP）。二者的应用场景有所区别：

普通代理ARP的应用环境为：想要互通的主机分别连接到设备的不同三层接口上，且这些主机不在同一个广播域中。

本地代理ARP的应用环境为：想要互通的主机连接到设备的同一个三层接口上，且这些主机不在同一个广播域中。

ARP Snooping

ARP Snooping作用

  ARP Snooping功能是一个用于二层交换网络环境的特性，通过侦听ARP报文建立ARP Snooping表项，从而提供给ARP快速应答和MFF手动方式等使用。

ARP Snooping工作机制

  设备上的一个VLAN使能ARP Snooping后，该VLAN内所有端口接收的ARP报文会被重定向到CPU。CPU对重定向上送的ARP报文进行分析，获取ARP报文的源IP地址、源MAC地址、源VLAN和入端口信息，建立记录用户信息的ARP Snooping表项。ARP Snooping表项的老化时间为25分钟，有效时间为15分钟。

当收到与已存在的ARP Snooping表项IP地址和MAC均相同的ARP报文时，此ARP Snooping表项进行更新，重新开始生效。

如果ARP Snooping收到ARP报文时检查到相同IP的ARP Snooping表项已经存在，但是MAC地址发生了变化，则认为发生了攻击，此时ARP Snooping表项处于冲突状态，表项失效，不再对外提供服务，并在25分钟后删除此表项。

ARP快速应答

ARP快速应答作用

  在无线产品组网中，AC与AP会建立隧道连接，Client通过AP连接到AC，通过AC，Client可以与网关建立连接。为了减少ARP广播占用的隧道资源，可以在AC上启用ARP快速应答功能，减少ARP广播报文的影响。ARP快速应答功能就是根据AC设备收集的用户信息（用户信息可以是DHCP Snooping表项，也可以是ARP Snooping表项），在指定的VLAN内，尽可能的对ARP请求进行应答，从而减少ARP广播报文。

ARP快速应答的工作机制：

设备接收到ARP请求报文时，如果请求报文的目的IP地址是设备的VLAN虚接口的IP地址，则由ARP特性进行处理；

如果ARP请求报文的目的IP地址不是VLAN虚接口的IP地址，则根据报文中的目的IP地址查找DHCP Snooping表项（查找到，且该接口不是以太网接口才可应答）

ARP攻击防御

ARP防止IP报文攻击功能简介

  如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：

设备向目的网段发送大量伪造的ARP请求报文，加重目的网段的负载。

设备会试图反复地对目标IP地址进行解析，增加了CPU的负担。

  为避免这种IP报文攻击所带来的危害，设备提供了下列两个功能：

如果发送攻击报文的源是固定的，可以采用ARP源抑制功能。（收到大量的报文时，会设置阈值）

如果发送攻击报文的源不固定，可以采用ARP黑洞路由功能。（收到不能解析的IP地址会丢弃，缺省情况下默认开启）

ARP报文限速功能简介

  ARP报文限速功能是指对上送CPU的ARP报文进行限速，可以防止大量ARP报文对CPU进行冲击。

源MAC地址固定的ARP攻击检测功能简介

  本特性根据ARP报文的源MAC地址进行统计，在5秒内，如果收到同一源MAC地址的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，

如果设置的检查模式为过滤模式，则会打印告警信息并且将该源MAC地址发送的ARP报文过滤掉；

如果设置的模式为监控模式，则只打印告警信息，不会将该源MAC地址发送的ARP报文过滤掉。

ARP报文源MAC一致性检查功能简介

  ARP报文源MAC一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。

ARP主动确认功能简介

  ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。启用ARP主动确认功能后，设备在新建或更新ARP表项前需进行主动确认，防止产生错误的ARP表项。

授权ARP功能简介

  所谓授权ARP（Authorized ARP），就是根据DHCP服务器生成的租约或者DHCP中继生成的安全表项同步生成ARP表项。使能接口的授权ARP功能后：

系统会启动接口下授权ARP表项的老化探测功能，可以检测用户的非正常下线；

系统会禁止该接口学习动态ARP表项，可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击，保证只有合法的用户才能使用网络资源，增加了网络的安全性。

ARP Detection功能简介

  ARP Detection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。ARP Detection包含三个功能：ARP报文有效性检查、用户合法性检查、ARP报文强制转发。

ARP报文有效性检查

  对于ARP信任端口，不进行报文有效性检查；对于ARP非信任端口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

用户合法性检查

  对于ARP信任端口，不进行用户合法性检查；对于ARP非信任端口，需要进行用户合法性检查，以防止仿冒用户的攻击。

ARP过滤保护功能简介

  本功能用来限制端口下允许通过的ARP报文，可以防止仿冒网关和仿冒用户的攻击。在端口配置此功能后，当端口收到ARP报文时，将检查ARP报文的源IP地址和源MAC地址是否和允许通过的IP地址和MAC地址相同：

如果相同，则认为此报文合法，继续进行后续处理；

如果不相同，则认为此报文非法，将其丢弃。