诚鑫致达 企业数据管家
技术干货 企业数据管家 文：诚鑫技术团队 本文由 AI 辅助生成，经人工审核后发布

有人冒充网关截数据：动态ARP检测按绑定表拦下中间人

整理自华为官方发布的典型配置案例。

办公网里一台电脑中了 ARP 欺骗类病毒，伪装成网关不停发伪造 ARP 应答，同网段同事的流量被引到它那里过一道，轻则时断时续，重则账号数据被截。ARP 协议本身不校验应答真伪，这道防线要建在交换机上：官方方案是动态 ARP 检测 DAI——设备收到 ARP 报文时，把源 IP、源 MAC、VLAN、入接口四元组与绑定表比对，对得上才放行，对不上按攻击丢弃。

中间人攻击的套路值得讲透：攻击者一头向受害者伪装成网关，一头向真正的网关伪装成受害者，两边的地址映射都被改写到攻击者的网卡上，往返流量都从它那里过一道，窃听与篡改的窗口就此打开。ARP 应答没有认证机制，终端和网关自己都拦不住，唯一的锚点就是交换机侧的可信绑定关系。看得见的损失是掉线，看不见的损失是账号与数据，这类攻击防的不是性能是底线。

先有绑定表

DAI 靠绑定表当户口本。DHCP 环境里交换机开启 DHCP Snooping 后，用户上线即自动生成绑定表；手工配 IP 的设备不会自动生成，要补静态绑定表。绑定表的条目说白了就是"谁在哪"的台账：地址是谁、硬件地址是谁、从哪个口哪个业务段进来。DAI 检查的严格之处在于逐项比对，伪造报文只要有一项对不上就露馅——改个硬件地址冒充、换个口接入、编个业务段，都过不了关。按官方示例走一遍（四个接口同属 VLAN10，GE2/0/1 上联 DHCP 服务器，VLAN 与接口的常规划分略）：

[SwitchA] dhcp enable
[SwitchA] dhcp snooping enable

[SwitchA] vlan 10
[SwitchA-vlan10] dhcp snooping enable
[SwitchA-vlan10] quit

[SwitchA] interface gigabitethernet 2/0/1
[SwitchA-GigabitEthernet2/0/1] dhcp snooping trusted
[SwitchA-GigabitEthernet2/0/1] quit

[SwitchA] user-bind static ip-address 10.0.0.2 mac-address 00e0-fc12-3456 interface gigabitethernet 1/0/3 vlan 10

信任口方向别配反：GE2/0/1 是朝向 DHCP 服务器的上联口，必须配成信任口，否则合法 DHCP 应答全被丢。静态 IP 的设备照第四段补绑定表。DHCP Snooping 在这里是地基：绑定表由它生成，snooping 没配好，DAI 就无表可查，检测等于空转。

接口上开检测

[SwitchA] interface gigabitethernet 1/0/1
[SwitchA-GigabitEthernet1/0/1] arp anti-attack check user-bind enable   //使能动态ARP检测功能（即对ARP报文进行绑定表匹配检查功能）
[SwitchA-GigabitEthernet1/0/1] quit

GE1/0/2、GE1/0/3 同样配法。所有接入口都开，只开一半等于给中间人留了后门。上线前先把静态地址台账逐台核对一遍，配置下发后在测试终端上验证正常访问不受影响，再铺开到全网，变更风险小一大截。

看生效与攻击频度

[SwitchA] display arp anti-attack statistics check user-bind interface gigabitethernet 1/0/1
 Dropped ARP packet number is 966                                                 
 Dropped ARP packet number since the latest warning is 605

Dropped ARP packet number 在涨，说明检测已拦到伪造报文；多次观察这个计数的走势，还能估出攻击的频率与波及范围。

配置是否下发到位，查配置回显就行：

[SwitchA] display arp anti-attack configuration check user-bind interface gigabitethernet 1/0/1
 arp anti-attack check user-bind enable

检测使能一行出现在接口名下，就是开好了；再对照上一段的丢弃计数，功能与效果两头都有凭据。把丢弃计数纳入日常巡检，突增当天就有感知，攻击窗口能压到小时级。

避坑三条

  • 静态 IP 设备漏配绑定表是头号坑：DAI 上线后这类设备会被当攻击源误丢报文，先把单位的静态地址台账过一遍再开检测；
  • 全静态网络上 DAI 的工作量全在绑定表：每台设备一条静态绑定逐台补齐，规模大了不如顺势改成 DHCP 统一发地址，绑定表自动生成，后续新增设备也免维护；
  • 与 IPSG 分工不同：IPSG 检查 IP 报文（防伪造源地址上网），DAI 检查 ARP 报文（防网关欺骗），两层各管各的报文类型，一起上才完整；
  • 检测面铺在接入口即可，上联口不在检测范围，别把网关与上层设备的合法应答拦在门外。

内网防欺骗与准入加固这类改造，贵州诚鑫致达科技可以做整体方案，欢迎搜索了解。

企业存储选型参考｜贵州诚鑫致达

做备份容灾一体机方案，群晖机型参考：DP7400 · DP520 · DP320。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。