Juniper ARP防护[分享借鉴]

1、Juniper 设备的ARP防护有个DAI（Dynamic ARP Inspection-动态ARP检测）协议，此协议的运行需要借用DHCP snooping的数据库，且只检测untrust接口的ARP包。在juniper交换机中，默认情况下access是untrust端口，trunk是trust端口。所以DAI协议默认只能检测access端口，对trunk端口不起作用。DAI是运行在VLAN上的协议，在物理端口上，可以进行MAC学习限制（mac limit）。此外，在三层端口模式下，可以进行ARP绑定（例：set interfaces ge-0/0/0 unit 0 family inet

2、address 1.1.1.1/32 arp 1.1.1.3 mac 00:00:00:00:00:00），此绑定针对的是对端通信IP的MAC。下面详细介绍下mac limit、DHCP snooping及DAI的应用。1. mac limit限制端口学到的MAC地址，并且根据学到的数目对端口进行log，drop，shutdown等动作。例：edit ethernet-switching-optionsJuniper_EX4550# show secure-access-port interface ge-0/0/1.0 allowed-mac 00:00:00:00:00:01 00:00:

3、00:00:00:02 ; interface ge-0/0/2.0 mac-limit 1 action log; interface ge-0/0/3.0 mac-limit 2 action drop; interface ge-0/0/4.0 mac-limit 3 action shutdown;2. DHCP snoopingDHCP会接受任何设备的请求，回应请求，可能会造成DoS攻击，通过DHCP snooping可以进行防护：建立DHCP SNOOPING DATABAS，用来检查DHCP数据。任何在untrust配置下的端口会进行数据库检查。默认情况下，access是untr

4、ust端口，trunk是trust端口。snooping过程：交换机收到DHCP请求后，检查数据，升级数据库在转发给serverserver回复包给交换机交换机同样检查数据，升级数据库，在转发给PC 例：edit ethernet-switching-options Juniper_EX4550# show secure-access-port interface ge-0/0/1.0 dhcp-trusted; interface ge-0/0/2.0 no-dhcp-trusted; vlan 100 examine-dhcp; 查看：Juniper_EX4550 show dhcp sn

5、ooping bindingJuniper_EX4550 clear dhcp snooping binding3. DAI与DHCP snooping合用，通过借用DHCP snooping的数据库，进行ARP欺骗防护，任何ARP包经过交换机转发时都要检查源MAC地址，对应数据库决定是否合法。DAI只能对VLAN进行配置，不能对接口配置DAI只检查untrust接口的ARP包例：edit ethernet-switching-optionsJuniper_EX4550# show secure-access-port interface ge-0/0/1.0 dhcp-trusted; /设置不被信任的端口 vlan 100 arp-inspection; /在VLAN下设置ARP保护 examine-dhcp; /对ARP保护提供DHCP snooping 数据库 查看：Juniper_