ARP防御介绍

通过使用ARP学习、MAC学习、ARP认证以及ARP检查功能，StoneOS能够很好的防御ARP欺骗攻击。

ARP学习

安全网关通过ARP学习过程获得内网中的IP-MAC的绑定信息，并将绑定信息添加到系统ARP表中。默认情况下，安全网关的ARP学习功能是开启的，安全网关会一直进行ARP学习，并将学到的IP-MAC绑定信息添加到系统ARP表中。在ARP学习过程中，如果IP或者MAC地址发生变化，安全网关会将更新的IP-MAC绑定信息添加到系统ARP表中。关闭ARP学习功能，只有已经在系统ARP表中的IP地址可以访问Internet。

MAC学习

安全网关通过MAC学习过程获得内网中的MAC-端口绑定信息，并将其添加到系统MAC表中。默认情况下，安全网关的MAC学习功能是开启的，安全网关会一直进行MAC学习，并将学到的MAC-端口绑定信息添加到系统MAC表中。在MAC学习过程中，如果MAC地址或者端口发生变化，安全网关会将更新的MAC-端口绑定信息添加到MAC表中。

ARP强制认证

ARP强制认证功能通过ARP客户端Hillstone Secure Defender来实现。安装Hillstone Secure Defender的PC在通过设备开启ARP认证功能的接口访问Internet时，会与Hillstone设备进行ARP认证，保证与PC相连的设备的MAC地址是可信的。

ARP检查

安全网关支持接口的ARP检查功能。开启该功能后，系统会对通过接口的所有ARP包进行检查，将ARP包的IP地址与系统ARP表中的静态表项以及DHCP监控列表中的IP-MAC绑定表项进行对比：

• 如果IP地址在ARP表中，并且与表中记录的MAC地址相同，则继续转发该ARP包；
• 如果IP地址在ARP表中，但是与表中记录的MAC地址不一致，系统将丢弃该ARP包；
• 如果IP地址不在ARP表中，则继续检查该IP地址是否在DHCP监控列表中；
• 如果IP地址在DHCP监控列表中，并且与表中记录的MAC地址相同，则继续转发该ARP包；
• 如果IP地址在DHCP监控列表中，但是与表中记录的MAC地址不一致，系统将丢弃该DHCP包；
• 如果IP地址不在DHCP监控列表中，则根据配置进行丢弃或者转发。