JuniperARP防护

1、精品文档Juniper设备的 ARP 防护有个DAI （ Dynamic ARP Inspection-动态 ARP 检测）协议，此协议的运行需要借用DHCP snooping的数据库，且只检测untrust接口的 ARP 包。在 juniper交换机中，默认情况下access是 untrust端口，trunk是 trust端口。所以 DAI 协议默认只能检测access端口，对 trunk端口不起作用。DAI 是运行在VLAN 上的协议，在物理端口上，可以进行MAC 学习限制（ mac limit）。此外，在三层端口模式下，可以进行ARP 绑定（例： set interfaces ge-0/

2、0/0），此绑定针对的是对端通信IP 的 MAC 。下面详细介绍下mac limit、 DHCP snooping及 DAI 的应用。1.mac limit限制端口学到的MAC 地址，并且根据学到的数目对端口进行log ， drop ，shutdown等动作。例：edit ethernet-switching-optionsJuniper_EX4550# showsecure-access-port interface ge-0/0/1.0 allowed-mac 00:00:00:00:00:01 00:00:00:00:00:02 ;interface ge-0/0/2.0 mac-lim

3、it 1 action log;interface ge-0/0/3.0 mac-limit 2 action drop;interface ge-0/0/4.0 mac-limit 3 action shutdown;2.DHCP snoopingDHCP 会接受任何设备的请求，回应请求，可能会造成DoS 攻击，通过DHCP snooping可以进行防护：建立DHCP SNOOPING DATABAS，用来检查DHCP 数据。任何在untrust配置下的端口会进行数据库检查。默认情况下，access 是 untrust端口， trunk是 trust端口。.精品文档snooping过程：交换

4、机收到DHCP 请求后，检查数据，升级数据库在转发给serverserver回复包给交换机交换机同样检查数据，升级数据库，在转发给PC例：edit ethernet-switching-optionsJuniper_EX4550# showsecure-access-portinterface ge-0/0/1.0 dhcp-trusted;interface ge-0/0/2.0 no-dhcp-trusted;vlan 100 examine-dhcp;查看：Juniper_EX4550> show dhcp snooping bindingJuniper_EX4550> cl

5、ear dhcp snooping binding3.DAI与 DHCP snooping合用，通过借用 DHCP snooping的数据库，进行 ARP 欺骗防护，任何 ARP包经过交换机转发时都要检查源MAC 地址，对应数据库决定是否合法。DAI 只能对 VLAN 进行配置，不能对接口配置DAI 只检查 untrust接口的 ARP 包.精品文档例：edit ethernet-switching-optionsJuniper_EX4550# showsecure-access-port interface ge-0/0/1.0 dhcp-trusted;/ 设置不被信任的端口vlan 100 arp-inspection;/ 在 VLAN 下设置 ARP 保护examine-dhcp;/ 对 ARP 保护提供DHCP snooping数据库查看：Juniper_EX45