一台主机发疯拖垮整台网关？华为接口ARP表项限制兜底

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

网关设备最怕的不是大流量，而是某台中毒的主机疯狂往外发ARP报文。设备会在短时间内学到海量ARP表项，表资源很快被占满，正常用户的表项反倒进不去，整台设备跟着遭殃。要给这种风险上道保险，可以在网关的各个接口上限制能学到的动态ARP表项数量，让故障被圈在一个口子里。

ARP表项限制功能应用在网关设备上，作用是限制设备的某个接口学习动态ARP表项的数目。默认状态下，接口可以学习的动态ARP表项数目与全局的ARP表项规格保持一致。部署这个功能后，如果指定接口下的动态ARP表项达到允许学习的最大数目，该接口将不再继续学习动态ARP表项——这样一个接口所接的主机发起ARP攻击时，不会把整台设备的ARP表资源都耗尽。配置分两种情况：二层接口按VLAN设限，三层接口直接设总数，按接口实际工作模式选一种即可。

如果是二层接口，先进入系统视图和接口视图，把接口切到二层模式，再按VLAN配置ARP表项限制：

system-view

interface { interface-name | interface-type interface-number }

portswitch

arp limit vlan vlan-id1 [ to vlan-id2 ] maximum

其中portswitch这一步请根据实际接口类型自行选择是否执行。

如果是三层接口，同样先进系统视图和接口视图，把接口切到三层模式，然后直接限制该接口的ARP表项总数：

system-view

interface { interface-name | interface-type interface-number }

undo portswitch

arp limit limitMaxNum

数值怎么取：按接口下实际接入的主机数量乘以适当余量来定，不要照搬别的环境，压得太低会让正常用户学不到表项。

配好怎么验证：配置完成后执行命令display arp limit [ interface { interface-name | interface-type interface-number } ] [ vlan vlan-id ]，查看ARP表项限制的配置情况，确认各接口的限制值已经下发。日常运行中再结合display arp相关命令观察各接口学到的表项数量，如果某接口长期顶在限制值附近，就要警惕该接口下有主机行为异常，顺着端口去找机器即可。这种把故障圈在单接口内的防护思路，配置简单、收益明显，欢迎搜索关注贵州诚鑫致达科技，获取更多网关设备安全加固的实操经验。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。