Функция контроля протоколаARP (ARP Inspection)предназначена для защиты от атак с использованием протокола ARP (например, ARP-spoofing – перехват ARP-трафика).
Контроль протокола ARP осуществляется наосновании таблицы соответствий DHCP snooping или статических соответствий IP- и MAC-адресов, заданных для группы VLAN.
Пример настройки на основании статических соответствий IP- и MAC-адресов.
Включить контроль протокола ARP и добавить в список статическое соответствие IP- и MAC-адресов для соответствующей группы VLAN.
console(config)# ip arp inspection
console(config)# ip arp inspection vlan 398
console(config)# ip arp inspection list create test
console(config)# ip 192.168.1.34 mac-address 00:11:22:33:44:55
console(config)# exit
console(config)# ip arp inspection list assign 398 test
По умолчанию все интерфейсы «недоверенные».
Для того, чтобы добавить интерфейс в список доверенных при использовании контроля протокола ARP, необходимо для интерфейса выполнить команду:
console(config-if)# ip arp inspection trust
Пример настройки на основании таблицы соответствий DHCP snooping
Включить контроль протокола ARP и функцию DHCP snooping для соответствующей группы VLAN.
console(config)# ip dhcp snooping
console(config)# ip dhcp snooping vlan 398
console(config)# ip arp inspection
console(config)# ip arp inspection vlan 398
По умолчанию все интерфейсы «недоверенные». При использовании контроля протокола ARP порт должен быть также «недоверенным» для функции DHCP snooping.
Для того, чтобы добавить интерфейс в список доверенных при использовании контроля протокола ARP и функции DHCP snooping, необходимо для интерфейса выполнить команды:
console(config-if)# ip arp inspection trust
console(config-if)# ip dhcp snooping trust