设备向目的网段发送大量 ARP 请求报文,加重目的网段的负载。
设备会试图反复地对目标 IP 地址进行解析,增加了 CPU 的负担。
为避免这种 IP 报文攻击所带来的危害,设备提供了下列两个功能:
如果发送攻击报文的源是固定的,可以采用 ARP 源抑制功能。开启该功能后,如果网络中某
主机向设备某端口连续发送目标 IP 地址不能解析的 IP 报文,当每 5 秒内由此主机发出 IP 报
文触发的 ARP 请求报文的流量超过设置的阈值,那么对于由此主机发出的 IP 报文,设备不
允许其触发 ARP 请求,直至 5 秒后再处理,从而避免了恶意攻击所造成的危害。
如果发送攻击报文的源不固定,可以采用 ARP 黑洞路由功能。开启该功能后,一旦接收到目
标 IP 地址不能解析的 IP 报文,设备立即产生一个黑洞路由,使得设备在一段时间内将去往
该地址的报文直接丢弃。等待黑洞路由老化时间过后,如有报文触发则再次发起解析,如果
解析成功则进行转发,否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够
有效地防止 IP 报文的攻击,减轻 CPU 的负担。
1.3.2 配置 ARP 防止 IP 报文攻击功能
1. 配置 ARP 源抑制功能
表1-2 配置 ARP 源抑制功能
操作 命令 说明
进入系统视图
system-view -
使能 ARP 源抑制功能
arp source-suppression enable
必选
缺省情况下,关闭 ARP 源抑制功能
配置 ARP 源抑制的阈值
arp source-suppression limit limit-value
可选
缺省情况下,ARP 源抑制的阈值为 10
2. 配置 ARP 黑洞路由功能
表1-3 配置 ARP 黑洞路由功能
操作 命令 说明
进入系统视图
system-view -
使能 ARP 黑洞路由功能
arp resolving-route enable
必选
缺省情况下,使能 ARP 黑洞路由功
能
1.3.3 ARP 防止 IP 报文攻击显示和维护
在完成上述配置后,在任意视图下执行 display 命令可以显示配置后 ARP 源抑制的运行情况,通
过查看显示信息验证配置的效果。
表1-4 ARP 源抑制显示和维护
操作 命令
显示 ARP 源抑制的配置信息
display arp source-suppression
2