华为AR2220通过cpu-defendpolicy处理大量arp广播的小技巧.docVIP

华为AR2220 通过cpu-defend policy处理大量大量arp广播的小技巧 今天发现有局域网里面有几台电脑中毒了，在大量的发送ARP报文，导致设备cpu利用率很高。 一、查看display cpu-defend statistics 发现arp-reply ?arp-request 报文drop很很多包。 二、打开auto-defend 功能，开启自动发现攻击源 AR2220display auto-defend configuration??-----------------------------------------------------------------------?Name ?: xdhg?Related slot : 0?auto-defend ? ? ? ? ? ? ? ? : enable?auto-defend threshold ? ? ? : 128 (pps)?auto-defend alarm ? ? ? ? ? : enable?auto-defend alarm threshold : 128 (pps)?auto-defend trace-type ? ? ?: source-mac source-portvlan source-ip??auto-defend protocol ? ? ? ?: ARP ICMP DHCP IGMP TTLONE TCP TELNET??---------------------------------------------------------------------- 查看信息 发现192.168.0.36 mac为4016-9fef-f2b3的电脑在发arp攻击包 三、开启cpu-defend 黑名单 L2 ACL 4000, 3 rulesAcls step is 5?rule 5 permit l2-protocol arp source-mac 4016-9fe7-f2b3(979719 matches)?rule 10 permit l2-protocol arp source-mac 1cfa-681c-47e9(359743 matches)?rule 15 permit l2-protocol arp source-mac 3883-4571-183f(51538 matches) AR2220display cpu-defend policy xdhg?Related slot : 0?BlackList Status :?? ?Slot0 : Success?Configuration :?? ?Blacklist 1 ACL number : 4000? ?Deny packet-type igmp? ?Rate-limit all-packets : 1500(pps)(default) 在cpu-defend的策略里面添加黑名单，并在全局下面启用， 启用cpu黑名单之后，路由器不会吧acl里面mac地址发送的arp报文上传到cpu处理，而是直接敷略，这样路由器也不会学习到他们的arp信息，这样的话，为了让他们正常通信还需要通过手动的方式添加静态arp AR2220display arp staticIP ADDRESS ? ? ?MAC ADDRESS ? ? EXPIRE(M) TYPE ? ? ? ?INTERFACE ? VPN-INSTANCE?? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? VLAN/CEVLAN PVC ? ? ? ? ? ? ? ? ? ? ?------------------------------------------------------------------------------192.168.0.106 ? 1cfa-681c-47e9 ? ? ? ? ? ?S--192.168.0.36 ? ?4016-9fe7-f2b3 ? ? ? ? ? ?S--192.168.0.237 ? 3883-4571-183f ? ? ? ? ? ?S--------------------------------------------------------------------------------Total:3 ? ? ? ? Dynamic:0 ? ? ? Static:3 ? ? Interface:0 ? ? 。 AR2220display cpu-defend statistics--------------------------------