目  錄

1 ARP

1.1 ARP簡介

1.1.1 ARP作用

1.1.2 ARP報文結構

1.1.3 ARP地址解析過程

1.1.4 ARP表

1.2 配置ARP

1.2.1 手工添加靜態ARP表項

1.2.2 配置設備學習動態ARP表項的最大數目

1.2.3 配置接口學習動態ARP表項的最大數目

1.2.4 配置動態ARP表項的老化時間

1.2.5 開啟動態ARP表項的檢查功能

1.2.6 將IRF主設備的ARP表項同步到其他IRF從設備

1.2.7 開啟ARP日誌信息功能

1.3 ARP顯示和維護

1.4 ARP典型配置舉例

1.4.1 長靜態ARP表項配置舉例

1.4.2 短靜態ARP表項配置舉例

2 免費ARP

2.1 免費ARP簡介

2.2 配置免費ARP

2.3 開啟源IP地址衝突提示功能

3 代理ARP

3.1 代理ARP簡介

3.2 開啟代理ARP功能

3.3 代理ARP顯示和維護

3.4 代理ARP典型配置舉例

3.4.1 代理ARP配置舉例

4 ARP Snooping

4.1 ARP Snooping簡介

4.1.1 作用

4.1.2 工作機製

4.2 開啟ARP Snooping功能

4.3 ARP Snooping顯示和維護

1 ARP

1.1  ARP簡介

1.1.1  ARP作用

ARP（Address Resolution Protocol，地址解析協議）是將IP地址解析為以太網MAC地址（或稱物理地址）的協議。

在網絡中，當主機或其它網絡設備有數據要發送給另一個主機或設備時，它必須知道對方的網絡層地址（即IP地址）。但是僅僅有IP地址是不夠的，因為IP數據報必須封裝成幀才能通過物理網絡發送，因此發送站還必須有接收站的物理地址，所以需要一個從IP地址到物理地址的映射。ARP就是實現這個功能的協議。

1.1.2  ARP報文結構

ARP報文分為ARP請求和ARP應答報文，報文格式如圖1-1所示。

圖1-1 ARP報文結構

·            硬件類型：表示硬件地址的類型。它的值為1表示以太網地址；

·            協議類型：表示要映射的協議地址類型。它的值為0x0800即表示IP地址；

·            硬件地址長度和協議地址長度分別指出硬件地址和協議地址的長度，以字節為單位。對於以太網上IP地址的ARP請求或應答來說，它們的值分別為6和4；

·            操作類型（OP）：1表示ARP請求，2表示ARP應答；

·            發送端MAC地址：發送方設備的硬件地址；

·            發送端IP地址：發送方設備的IP地址；

·            目標MAC地址：接收方設備的硬件地址；

·            目標IP地址：接收方設備的IP地址。

1.1.3  ARP地址解析過程

假設主機A和B在同一個網段，主機A要向主機B發送信息。如圖1-2所示，具體的地址解析過程如下：

(1)       主機A首先查看自己的ARP表，確定其中是否包含有主機B對應的ARP表項。如果找到了對應的MAC地址，則主機A直接利用ARP表中的MAC地址，對IP數據報進行幀封裝，並將IP數據報發送給主機B。

(2)       如果主機A在ARP表中找不到對應的MAC地址，則將緩存該IP數據報，然後以廣播方式發送一個ARP請求報文。ARP請求報文中的發送端IP地址和發送端MAC地址為主機A的IP地址和MAC地址，目標IP地址和目標MAC地址為主機B的IP地址和全0的MAC地址。由於ARP請求報文以廣播方式發送，該網段上的所有主機都可以接收到該請求，但隻有被請求的主機（即主機B）會對該請求進行處理。

(3)       主機B比較自己的IP地址和ARP請求報文中的目標IP地址，當兩者相同時進行如下處理：將ARP請求報文中的發送端（即主機A）的IP地址和MAC地址存入自己的ARP表中。之後以單播方式發送ARP響應報文給主機A，其中包含了自己的MAC地址。

(4)       主機A收到ARP響應報文後，將主機B的MAC地址加入到自己的ARP表中以用於後續報文的轉發，同時將IP數據報進行封裝後發送出去。

圖1-2 ARP地址解析過程

當主機A和主機B不在同一網段時，主機A就會先向網關發出ARP請求，ARP請求報文中的目標IP地址為網關的IP地址。當主機A從收到的響應報文中獲得網關的MAC地址後，將報文封裝並發給網關。如果網關沒有主機B的ARP表項，網關會廣播ARP請求，目標IP地址為主機B的IP地址，當網關從收到的響應報文中獲得主機B的MAC地址後，就可以將報文發給主機B；如果網關已經有主機B的ARP表項，網關直接把報文發給主機B。

1.1.4  ARP表

設備通過ARP解析到目的MAC地址後，將會在自己的ARP表中增加IP地址和MAC地址映射關係的表項，以用於後續到同一目的地報文的轉發。

ARP表項分為動態ARP表項、靜態ARP表項。

1. 動態ARP表項

動態ARP表項由ARP協議通過ARP報文自動生成和維護，可以被老化，可以被新的ARP報文更新，可以被靜態ARP表項覆蓋。當到達老化時間、接口狀態down時，係統會刪除相應的動態ARP表項。

2. 靜態ARP表項

靜態ARP表項通過手工配置和維護，不會被老化，不會被動態ARP表項覆蓋。

配置靜態ARP表項可以增加通信的安全性。靜態ARP表項可以限製和指定IP地址的設備通信時隻使用指定的MAC地址，此時攻擊報文無法修改此表項的IP地址和MAC地址的映射關係，從而保護了本設備和指定設備間的正常通信。

靜態ARP表項分為短靜態ARP表項、長靜態ARP表項。

·            在配置長靜態ARP表項時，除了必須配置IP地址和MAC地址項外，還需要進行以下兩種配置之一：

¡  該ARP表項所在VLAN和出接口。

·            長靜態ARP表項可以直接用於報文轉發。

·            在配置短靜態ARP表項時，隻需要配置IP地址和MAC地址項。如果出接口是VLAN虛接口，短靜態ARP表項不能直接用於報文轉發，需要對表項進行解析：當要發送IP數據報時，設備先發送ARP請求報文，如果收到的響應報文中的發送端IP地址和發送端MAC地址與所配置的IP地址和MAC地址相同，則將接收ARP響應報文的接口加入該靜態ARP表項中，此時，該短靜態ARP表項由未解析狀態變為解析狀態，之後就可以用於報文轉發。

一般情況下，ARP動態執行並自動尋求IP地址到以太網MAC地址的解析，無需管理員的介入。當希望設備和指定用戶隻能使用某個固定的IP地址和MAC地址通信時，可以配置短靜態ARP表項，當進一步希望限定這個用戶隻在某VLAN內的某個特定接口上連接時就可以配置長靜態ARP表項。

1.2  配置ARP

1.2.1  手工添加靜態ARP表項

靜態ARP表項分為短靜態ARP表項和長靜態ARP表項：

·            對於已經解析的短靜態ARP表項，會由於外部事件，比如解析到的出接口狀態down或設備的ARP表項所對應的VLAN或VLAN接口被刪除等原因，恢複到未解析狀態。

·            對於長靜態ARP表項，根據設備的當前狀態可能處於有效或無效兩種狀態。處於無效狀態的原因可能是該ARP表項對應的VLAN接口狀態down或出接口狀態down、該ARP表項中的IP地址與本地IP地址衝突或設備上沒有與該ARP表項中的IP地址在同一網段的接口地址等原因。處於無效狀態的長靜態ARP表項不能指導報文轉發。當長靜態ARP表項所對應的VLAN或VLAN接口被刪除時，該ARP表項會被刪除。

靜態ARP表項在設備正常工作時間一直有效。

表1-1 手工添加靜態ARP表項

1.2.2  配置設備學習動態ARP表項的最大數目

設備可以通過ARP協議自動生成動態ARP表項。為了防止用戶占用過多的ARP資源，可以通過設置設備學習動態ARP表項的最大數目來進行限製。當設備學習動態ARP表項的數目達到所設置的值時，該設備上將不再學習動態ARP表項。

表1-2 配置設備學習動態ARP表項的最大數目

1.2.3  配置接口學習動態ARP表項的最大數目

設備可以通過ARP協議自動生成動態ARP表項。為了防止部分接口下的用戶占用過多的ARP資源，可以通過設置接口學習動態ARP表項的最大數目來進行限製。當接口學習動態ARP表項的數目達到所設置的值時，該接口將不再學習動態ARP表項。

如果二層接口及其所屬的VLAN接口都配置了允許學習動態ARP表項的最大數目，則隻有二層接口及VLAN接口上的動態ARP表項數目都沒有超過各自配置的最大值時，才會學習ARP表項。

設備各接口學習的動態ARP表項之和不會超過該設備學習動態ARP表項的最大數目。

表1-3 配置接口學習動態ARP表項的最大數目

1.2.4  配置動態ARP表項的老化時間

為適應網絡的變化，ARP表需要不斷更新。ARP表中的動態ARP表項並非永遠有效，每一條記錄都有一個生存周期，到達生存周期仍得不到刷新的記錄將從ARP表中刪除，這個生存周期被稱作老化時間。如果在到達老化時間前記錄被刷新，則重新計算老化時間。

表1-4 配置動態ARP表項的老化時間

1.2.5  開啟動態ARP表項的檢查功能

動態ARP表項檢查功能可以控製設備上是否可以學習ARP報文中的發送端MAC地址為組播MAC的動態ARP表項。

·            開啟ARP表項的檢查功能後，設備上不能學習ARP報文中發送端MAC地址為組播MAC的動態ARP表項，也不能手工添加MAC地址為組播MAC的靜態ARP表項。

·            關閉ARP表項的檢查功能後，設備可以學習以太網源MAC地址為單播MAC且ARP報文中發送端MAC地址為組播MAC的動態ARP表項，也可以手工添加MAC地址為組播MAC的靜態ARP表項。

表1-5 開啟動態ARP表項的檢查功能

1.2.6  將IRF主設備的ARP表項同步到其他IRF從設備

當IRF各設備出現了ARP表項不一致的異常情況時，執行該命令行後，可保證IRF各設備表項處於一致狀態。

為了防止設備在長時間工作後，各設備上的ARP表項出現差異的情況，可通過schedule機製控製arp smooth命令的起始時間及執行的時間間隔，關於schedule機製的介紹，請參見“基礎配置指導”中的“設備管理”。

表1-6 將IRF主設備的ARP表項同步到其他IRF從設備

1.2.7  開啟ARP日誌信息功能

ARP日誌是為了滿足網絡管理員審計的需要，對處理ARP報文的信息進行的記錄，包括設備未使能ARP代理功能時收到目的IP不是設備接口IP地址；收到的ARP報文中源地址和接收接口IP地址衝突，且此報文不是ARP請求報文等。

設備生成的ARP日誌信息會交給信息中心模塊處理，信息中心模塊的配置將決定日誌信息的發送規則和發送方向。關於信息中心的詳細描述請參見“網絡管理和監控配置指導”中的“信息中心”。

表1-7 開啟ARP日誌信息功能

1.3  ARP顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後ARP的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下，用戶可以執行reset命令清除ARP表項。

表1-8 ARP顯示和維護

1.4  ARP典型配置舉例

1.4.1  長靜態ARP表項配置舉例

1. 組網需求

·            Device B連接主機，通過接口GigabitEthernet1/0/1連接Device A。接口GigabitEthernet1/0/1屬於VLAN 10。

·            Device A的IP地址為192.168.1.1/24，MAC地址為00e0-fc01-0000。

為了增加Device B和Device A通信的安全性，可以在Device B上為Device A配置一條靜態ARP表項，從而防止攻擊報文修改此表項的IP地址和MAC地址的映射關係。

2. 組網圖

圖1-3 長靜態ARP表項配置組網圖

‌

3. 配置步驟

在Device B上進行下列配置。

# 創建VLAN 10。

<DeviceB> system-view

[DeviceB] vlan 10

[DeviceB-vlan10] quit

# 將接口GigabitEthernet1/0/1加入到VLAN 10中。

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] port access vlan 10

[DeviceB-GigabitEthernet1/0/1] quit

# 創建接口Vlan-interface10，並配置IP地址。

[DeviceB] interface vlan-interface 10

[DeviceB-vlan-interface10] ip address 192.168.1.2 8

[DeviceB-vlan-interface10] quit

# 配置一條長靜態ARP表項，IP地址為192.168.1.1，對應的MAC地址為00e0-fc01-0000，此條ARP表項對應的出接口為屬於VLAN 10的接口GigabitEthernet1/0/1。

[DeviceB] arp static 192.168.1.1 00e0-fc01-0000 10 gigabitethernet 1/0/1

# 查看長靜態ARP表項信息。

[DeviceB] display arp static

  Type: S-Static   D-Dynamic   O-Openflow   R-Rule   M-Multiport  I-Invalid

IP address       MAC address     VID     Interface/Link ID      Aging Type

192.168.1.1      00e0-fc01-0000  10      GE1/0/1                N/A   S

1.4.2  短靜態ARP表項配置舉例

1. 組網需求

·            Device B通過接口GigabitEthernet1/0/1連接主機，通過接口GigabitEthernet1/0/2連接Device A。

·            Device A的IP地址為192.168.1.1/24，MAC地址為00e0-fc01-001f。

網絡管理員需要通過某種方法來防止惡意用戶對Device B進行ARP攻擊，增加Device B和Device A通信的安全性。如果Device A的IP地址和MAC地址是固定的，則可以通過在Device B上配置靜態ARP表項的方法，防止惡意用戶進行ARP攻擊。

2. 組網圖

圖1-4 短靜態ARP表項配置組網圖

‌

3. 配置步驟

在Device B上進行下列配置。

# 在接口GigabitEthernet1/0/2配置IP地址。

<DeviceB> system-view

[DeviceB] interface gigabitethernet 1/0/2

[DeviceB-GigabitEthernet1/0/2] ip address 192.168.1.2 24

[DeviceB-GigabitEthernet1/0/2] quit

# 配置一條短靜態ARP表項，IP地址是192.168.1.1，對應的MAC地址是00e0-fc01-001f。

[DeviceB] arp static 192.168.1.1 00e0-fc01-001f

# 查看短靜態ARP表項信息。

[DeviceB] display arp static

  Type: S-Static   D-Dynamic   O-Openflow   R-Rule   M-Multiport  I-Invalid

IP address       MAC address     VID     Interface/Link ID      Aging Type

192.168.1.1      00e0-fc01-001f  N/A     N/A                    N/A   S

2 免費ARP

2.1  免費ARP簡介

免費ARP報文是一種特殊的ARP報文，該報文中攜帶的發送端IP地址和目標IP地址都是本機IP地址。

設備通過對外發送免費ARP報文來實現以下功能：

·            確定其它設備的IP地址是否與本機的IP地址衝突。當其它設備收到免費ARP報文後，如果發現報文中的IP地址和自己的IP地址相同，則給發送免費ARP報文的設備返回一個ARP應答，告知該設備IP地址衝突。

·            設備改變了硬件地址，通過發送免費ARP報文通知其它設備更新ARP表項。

1. 免費ARP報文學習功能的作用

開啟了免費ARP報文學習功能後，設備會根據收到的免費ARP報文中攜帶的信息（發送端IP地址、發送端MAC地址）對自身維護的ARP表進行修改。設備先判斷ARP表中是否存在與此免費ARP報文中的發送端IP地址對應的ARP表項：

·            如果沒有對應的ARP表項，設備會根據該免費ARP報文中攜帶的信息新建ARP表項；

·            如果存在對應的ARP表項，設備會根據該免費ARP報文中攜帶的信息更新對應的ARP表項。

關閉免費ARP報文學習功能後，設備不會根據收到的免費ARP報文來新建ARP表項，但是會更新已存在的對應ARP表項。如果用戶不希望通過免費ARP報文來新建ARP表項，可以關閉免費ARP報文學習功能，以節省ARP表項資源。

2. 定時發送免費ARP功能的作用

定時發送免費ARP功能可以及時通知下行設備更新ARP表項或者MAC地址表項，主要應用場景如下：

·            防止仿冒網關的ARP攻擊

如果攻擊者仿冒網關發送免費ARP報文，就可以欺騙同網段內的其它主機，使得被欺騙的主機訪問網關的流量被重定向到一個錯誤的MAC地址，導致其它主機用戶無法正常訪問網絡。

為了降低這種仿冒網關的ARP攻擊所帶來的影響，可以在網關的接口上開啟定時發送免費ARP功能。開啟該功能後，網關接口上將按照配置的時間間隔周期性發送接口主IP地址和手工配置的從IP地址的免費ARP報文。這樣，每台主機都可以學習到正確的網關，從而正常訪問網絡。

·            防止主機ARP表項老化

在實際環境中，當網絡負載較大或接收端主機的CPU占用率較高時，可能存在ARP報文被丟棄或主機無法及時處理接收到的ARP報文等現象。這種情況下，接收端主機的動態ARP表項會因超時而老化，在其重新學習到發送設備的ARP表項之前，二者之間的流量就會發生中斷。

為了解決上述問題，可以在網關的接口上開啟定時發送免費ARP功能。啟用該功能後，網關接口上將按照配置的時間間隔周期性發送接口主IP地址和手工配置的從IP地址的免費ARP報文。這樣，接收端主機可以及時更新ARP映射表，從而防止了上述流量中斷現象。

2.2  配置免費ARP

配置免費ARP時，需要注意：

·            設備最多允許同時在1024個接口上開啟定時發送免費ARP功能。

·            開啟定時發送免費ARP功能後，隻有當接口鏈路狀態up並且配置IP地址後，此功能才真正生效。

·            如果修改了免費ARP報文的發送時間間隔，則在下一個發送時間間隔才能生效。

·            如果同時在很多接口下開啟定時發送免費ARP功能，或者每個接口有大量的從IP地址，又或者是兩種情況共存的同時又配置很小的發送時間間隔，那麼免費ARP報文的實際發送時間間隔可能會遠遠高於用戶設定的時間間隔。

表2-1 配置免費ARP

2.3  開啟源IP地址衝突提示功能

設備接收到其它設備發送的ARP報文後，如果發現報文中的源IP地址和自己的IP地址相同，該設備會根據當前源IP地址衝突提示功能的狀態，進行如下處理：

·            如果源IP地址衝突提示功能處於關閉狀態時，設備發送一個免費ARP報文確認是否衝突，隻有收到對應的ARP應答後才提示存在IP地址衝突。

·            如果源IP地址衝突提示功能處於開啟狀態時，設備立刻提示存在IP地址衝突。

表2-2 開啟源IP地址衝突提示功能

3 代理ARP

3.1  代理ARP簡介

如果ARP請求是從一個網絡的主機發往同一網段卻不在同一物理網絡上的另一台主機，那麼連接它們的具有代理ARP功能的設備就可以回答該請求，這個過程稱作代理ARP（Proxy ARP）。

代理ARP功能屏蔽了分離的物理網絡這一事實，使用戶使用起來，好像在同一個物理網絡上。

代理ARP分為普通代理ARP和本地代理ARP，二者的應用場景有所區別：

·            普通代理ARP的應用場景為：想要互通的主機分別連接到設備的不同三層接口上，且這些主機不在同一個廣播域中。

·            本地代理ARP的應用場景為：想要互通的主機連接到設備的同一個三層接口上，且這些主機不在同一個廣播域中。

如無特殊說明，本章後續描述中的代理ARP均指普通代理ARP。

3.2  開啟代理ARP功能

代理ARP和本地代理ARP功能均可在VLAN接口視圖下進行配置。

表3-1 開啟代理ARP功能

表3-2 開啟本地代理ARP功能

3.3  代理ARP顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後代理ARP的運行情況，查看顯示信息驗證配置的效果。

表3-3 代理ARP顯示和維護

3.4  代理ARP典型配置舉例

3.4.1  代理ARP配置舉例

1. 組網需求

·            Host A和Host D配置為同一網段的主機（Host A的IP地址是192.168.10.100/16，Host D的IP地址是192.168.20.200/16），但卻被設備Switch分在兩個不同的子網（Host A屬於VLAN 1，Host D屬於VLAN 2）。

·            Host A和Host D沒有配置缺省網關，要求在設備Switch上開啟代理ARP功能，使處在兩個子網的Host A和Host D能互通。

2. 組網圖

圖3-1 配置代理ARP組網圖

3. 配置步驟

# 創建VLAN 2。

<Switch> system-view

[Switch] vlan 2

[Switch-vlan2] quit

# 配置接口Vlan-interface1的IP地址。

[Switch] interface vlan-interface 1

[Switch-Vlan-interface1] ip address 192.168.10.99 255.255.255.0

# 開啟接口Vlan-interface1的代理ARP功能。

[Switch-Vlan-interface1] proxy-arp enable

[Switch-Vlan-interface1] quit

# 配置接口Vlan-interface2的IP地址。

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.20.99 255.255.255.0

# 開啟接口Vlan-interface2的代理ARP功能。

[Switch-Vlan-interface2] proxy-arp enable

配置完成後，Host A和Host D可以互相ping通。

4 ARP Snooping

4.1  ARP Snooping簡介

4.1.1  作用

ARP Snooping功能是一個用於二層交換網絡環境的特性，通過偵聽ARP報文建立ARP Snooping表項。

4.1.2  工作機製

設備上在一個VLAN中啟用ARP Snooping後，該VLAN內接收的ARP報文都會被上送到CPU。CPU對上送的ARP報文進行分析，獲取ARP報文的發送端IP地址、發送端MAC地址、VLAN和入端口信息，建立記錄用戶信息的ARP Snooping表項。

ARP Snooping表項的老化時間為25分鍾，有效時間為15分鍾。如果一個ARP Snooping表項自最後一次更新後12分鍾內沒有收到ARP更新報文，設備會向外主動發送一個ARP請求進行探測；若ARP Snooping表項自最後一次更新後15分鍾時，還沒有收到ARP更新報文，則此表項開始進入失效狀態，不再對外提供服務，其他特性查找此表項將會失敗。當收到發送端IP地址和發送端MAC與已存在的ARP Snooping表項IP地址和MAC均相同的ARP報文時，此ARP Snooping表項進行更新，重新開始生效，並重新老化計時。當ARP Snooping表項達到老化時間後，則將此ARP Snooping表項刪除。

如果ARP Snooping收到ARP報文時檢查到相同IP的ARP Snooping表項已經存在，但是MAC地址發生了變化，則認為發生了攻擊，此時ARP Snooping表項處於衝突狀態，表項失效，不再對外提供服務，並在1分鍾後刪除此表項。

4.2  開啟ARP Snooping功能

表4-1 開啟ARP Snooping功能

4.3  ARP Snooping顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後ARP Snooping的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下，用戶可以執行reset命令清除ARP Snooping表中的表項。

表4-2 ARP Snooping顯示和維護