ARP攻击把网关表项搅得又满又乱？华为ARP安全五道闸一次配上
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
网关设备的ARP表是转发的基础，也是攻击者眼里的软肋：有主机中招后对外狂发源IP不断变化的伪造ARP报文，把表项搅得又满又乱；有服务器动不动就发目的地址不可达的报文，触发海量ARP Miss消息把设备CPU拖住。华为ARP安全功能针对这些套路准备了一套组合拳，官方的综合举例把五道闸一次配齐。
先对号入座看威胁
案例场景里有四类威胁：服务器会发送大量目的IP不可达的报文；主机A被攻击后发送大量源IP不断变化的伪造ARP报文；主机C被攻击后构造大量源IP固定的ARP报文；主机D也会发目的IP不可达的报文。对策依次对应下面五项配置。
闸门一：全局严格学习
设备只学习自己发送的ARP请求报文的应答报文，来路不明的ARP应答一律不进表：
<HUAWEI> system-view
[HUAWEI] sysname Device
[Device] arp learning strict
闸门二：接口按VLAN限额
在连接用户的接口上按VLAN限制学习数目，防止表项被撑爆溢出。阈值按接入规模给，本例为20：
[Device] interface 10ge0/0/1
[Device-10GE0/0/1] portswitch
[Device-10GE0/0/1] arp limit vlan 10 20
[Device-10GE0/0/1] quit
闸门三：表项固化
fixed-mac模式下，表项里的MAC地址不再被普通ARP报文改写，攻击者想靠伪造报文篡改映射关系就没了抓手：
[Device] arp anti-attack entry-check fixed-mac enable
闸门四：ARP报文源IP限速
限制设备1秒内处理的ARP报文数量，给CPU减负：
[Device] arp anti-attack rate-limit source-ip maximum 15
闸门五：ARP Miss消息限速
目的IP不可达的报文会触发ARP Miss，服务器这类正常业务也可能产生大量Miss，所以要分而治之——主机D限30、其他用户限20、服务器放宽到50，防攻击的同时别误伤业务：
[Device] arp miss anti-attack rate-limit source-ip 10.10.10.10 maximum 30
[Device] arp miss anti-attack rate-limit source-ip maximum 20
[Device] arp miss anti-attack rate-limit source-ip 10.20.20.20 maximum 50
验证逐条来
严格学习状态：
<HUAWEI> display arp learning strict
The global arp learning strict state:enable
接口限额与实际学习数：
<HUAWEI> display arp limit interface 10ge0/0/1
10GE0/0/1 10 20 0
Miss限速的生效情况：
<HUAWEI> display arp miss anti-attack rate-limit
10.10.10.10/32 30
10.20.20.20/32 50
Other 20
日常更值得盯的是报文统计里的丢弃计数：
<HUAWEI> display arp packet statistics
Discard For Entry Limit: 5
Discard For Speed Limit: 0
Discard For Entry Limit持续增长，说明表项限额正在拦下超额学习；Discard For Speed Limit涨得快，就要看看是哪类源在冲击，必要时调整限速阈值——阈值定低了误伤正常用户，定高了防不住攻击，结合业务流量反复校准。
ARP安全不炫技，靠的是层层设闸把异常流量消化在门口。把五项配置连同阈值标准一起写进园区网安全基线模板，交付时逐项落地，网关表项清净了，日常排障也能省不少力气。欢迎搜索关注贵州诚鑫致达科技，获取更多局域网安全加固的实操经验。
企业存储选型参考｜贵州诚鑫致达
做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。云南昆明企业 NAS 存储方案与备份容灾，支持远程与上门服务。
