Juniper ARP防护

Juniper 设备的ARP防护有个DAI（Dynamic ARP Inspection-动态ARP检测）协议，此协议的运行需要借用DHCP snooping的数据库，且只检测untrust接口的ARP包。在juniper交换机中，默认情况下access是untrust端口，trunk是trust端口。所以DAI协议默认只能检测access 端口，对trunk端口不起作用。DAI是运行在VLAN上的协议，在物理端口上，可以进行MAC学习限制（mac limit）。此外，在三层端口模式下，可以进行ARP绑定（例：set interfaces ge-0/0/0 unit 0 family inet address 1.1.1.1/32 arp 1.1.1.3 mac 00:00:00:00:00:00），此绑定针对的是对端通信IP的MAC。下面详细介绍下mac limit、DHCP snooping及DAI的应用。

1.mac limit

限制端口学到的MAC地址，并且根据学到的数目对端口进行log，drop，shutdown等动作。

例：

edit ethernet-switching-options]

Juniper_EX4550# show

secure-access-port {

interface ge-0/0/1.0 {

allowed-mac [ 00:00:00:00:00:01 00:00:00:00:00:02 ];

}

interface ge-0/0/2.0 {

mac-limit 1 action log;

}

interface ge-0/0/3.0 {

mac-limit 2 action drop;

}

interface ge-0/0/4.0 {

mac-limit 3 action shutdown;

}

2.DHCP snooping

DHCP会接受任何设备的请求，回应请求，可能会造成DoS攻击，通过DHCP snooping可以进行防护：建立DHCP SNOOPING DATABAS，用来检查DHCP数据。任何在untrust配置下的端口会进行数据库检查。默认情况下，access是untrust端口，trunk是trust端口。

snooping过程：

交换机收到DHCP请求后，检查数据，升级数据库在转发给server

server回复包给交换机

交换机同样检查数据，升级数据库，在转发给PC

例：

edit ethernet-switching-options]

Juniper_EX4550# show

secure-access-port{

interface ge-0/0/1.0 {

dhcp-trusted;

}

interface ge-0/0/2.0 {

no-dhcp-trusted;

}

vlan 100 {

examine-dhcp;

}

}

查看：

Juniper_EX4550> show dhcp snooping binding

Juniper_EX4550> clear dhcp snooping binding

3.DAI

与DHCP snooping合用，通过借用DHCP snooping的数据库，进行ARP欺骗防护，任何ARP 包经过交换机转发时都要检查源MAC地址，对应数据库决定是否合法。

DAI只能对VLAN进行配置，不能对接口配置

DAI只检查untrust接口的ARP包

例：

edit ethernet-switching-options]

Juniper_EX4550# show

secure-access-port {

interface ge-0/0/1.0 {

dhcp-trusted; //设置不被信任的端口

}

vlan 100 {

arp-inspection; //在VLAN下设置ARP保护

examine-dhcp; //对ARP保护提供DHCP snooping 数据库}

}

查看：

Juniper_EX4550> show dhcp snooping binding

Juniper_EX4550> show arp inspection statistics