首页 / 配置案例 / 迈普 NSS4300/5800 端口安全与防 ARP 欺骗

迈普 NSS4300/5800 端口安全与防 ARP 欺骗

适用型号：NSS4300/4500/5800 系列万兆三层交换机（手册版本 V9.7.40.8）

用户提问

NSS4300/5800 交换机如何配置端口安全和防 ARP 欺骗（DHCP Snooping、动态 ARP 检测）？请给出完整配置命令和步骤。

BOOKRAG 回答（实际对话输出）

关于“端口安全”（如 port-security 一类特性）本身，当前提供的资料中未检索到相关配置命令，请换关键词或补充设备型号/软件版本。 下面仅基于所给资料，给出 NSS4300/5800 系列交换机用于防 ARP 欺骗的 DHCP Snooping + ARP Check 和 DHCP Snooping + DAI（Dynamic ARP Inspection） 完整配置步骤。

一、适用型号与前提条件

适用型号

前提条件

合法 DHCP 服务器直连或间接连接的端口应配置为信任端口，否则 DHCP 应答会被丢弃 [6]。

二、方案一：DHCP Snooping + ARP Check 防 ARP 欺骗

该方案适用于终端通过 DHCP 获取地址，并希望在接入端口上基于 DHCP Snooping 绑定表进行 ARP 检查的场景 [1][2][3]。

1. 配置思路

  1. 创建终端业务 VLAN。
  2. 将接入端口和上行端口加入该 VLAN。
  3. 全局使能 DHCP Snooping。
  4. 将连接合法 DHCP 服务器或上行网络的端口配置为 DHCP Snooping trust。
  5. 在终端接入端口使能 ARP Check。
  6. 查看 DHCP Snooping 表项验证结果。

2. 完整配置命令示例

以下示例基于资料中的组网：

Device> enable
Device# configure terminal

步骤 1：创建 VLAN 并配置端口链路类型

Device(config)# vlan 2
Device(config-vlan2)# exit

将端口 gigabitethernet 0/1 到 gigabitethernet 0/3 配置为 Access 端口，并加入 VLAN 2：

Device(config)# interface gigabitethernet 0/1-0/3
Device(config-if-range)# switchport access vlan 2
Device(config-if-range)# exit

以上 VLAN 和 Access 端口配置来自资料示例 [2]。

步骤 2：全局使能 DHCP Snooping

Device(config)# dhcp-snooping

DHCP Snooping 缺省处于禁用状态，使能后设备会监控所有端口收到的 DHCP 报文 [6]。

步骤 3：配置 DHCP Snooping 信任端口

假设 gigabitethernet 0/2 是连接合法 DHCP 服务器或上行网络的端口：

Device(config)# interface gigabitethernet 0/2
Device(config-if-gigabitethernet0/2)# dhcp-snooping trust
Device(config-if-gigabitethernet0/2)# exit

配置为信任端口后，该端口允许 DHCP 响应报文正常转发；非信任端口收到的 DHCP 响应报文会被丢弃 [1][6]。

步骤 4：在终端接入端口使能 ARP Check

假设终端连接在 gigabitethernet 0/1：

Device(config)# interface gigabitethernet 0/1
Device(config-if-gigabitethernet0/1)# arp-check enable
Device(config-if-gigabitethernet0/1)# exit

ARP Check 缺省未使能，需要在端口下显式开启 [3]。

步骤 5：保存配置并退出

资料未提供保存配置命令，此处不补充未检索到的命令。

Device(config)# end

3. 验证命令

查看 DHCP Snooping 动态表项：

Device# show dhcp-snooping database

资料中给出的示例输出包含以下信息：

dhcp-snooping database:
database entries count:1
database entries delete time :300
---------------------------------
macAddr          ipAddr           transtion-id     vlan

当 PC 成功通过 DHCP 获取地址后，应能看到对应的 DHCP Snooping 绑定表项 [1]。

三、方案二：DHCP Snooping + DAI 动态 ARP 检测

DAI 即 Dynamic ARP Inspection，资料中提供了 DAI 与 DHCP Snooping 联用的配置示例 [4]。

1. 配置思路

  1. 全局使能 DHCP Snooping。
  2. 将连接合法 DHCP 服务器或上行网络的端口配置为 DHCP Snooping trust。
  3. 在需要防护的接入端口使能 DAI。
  4. 如果 DHCP 服务器跨网段，需要在相应设备上配置 DHCP 中继。

2. 完整配置命令示例

资料示例中使用的是 tengigabitethernet 端口，请根据实际设备端口类型替换为 gigabitethernet、tengigabitethernet 等实际接口名 [4]。

步骤 1：进入全局配置模式

Device# configure terminal

步骤 2：全局使能 DHCP Snooping

Device1(config)# dhcp-snooping

DHCP Snooping 缺省处于禁用状态 [6]。

步骤 3：配置 DHCP Snooping 信任端口

资料示例中，tengigabitethernet 0/2 为连接合法 DHCP 服务器或上行方向的端口：

Device1(config)# interface tengigabitethernet 0/2
Device1(config-if-tengigabitethernet0/2)# dhcp-snooping trust
Device1(config-if-tengigabitethernet0/2)# exit

信任端口用于允许合法 DHCP 响应报文通过 [4][6]。

步骤 4：在接入端口使能 DAI

资料示例中，在 tengigabitethernet 0/1 上使能 DAI：

Device1(config)# interface tengigabitethernet 0/1
Device1(config-if-tengigabitethernet0/1)# ip arp inspection
Device1(config-if-tengigabitethernet0/1)# exit

该命令用于在端口上启用动态 ARP 检测 [4]。

3. 可选：配置 DHCP 中继

如果 DHCP 服务器不在本机直连网段，需要在承担中继功能的设备上配置 DHCP 中继。资料示例中在 Device2 的 VLAN 接口下配置：

Device2(config)# interface vlan3
Device2(config-if-vlan3)# ip dhcp relay
Device2(config-if-vlan3)# ip dhcp relay server-address 192.168.2.1
Device2(config-if-vlan3)# exit

其中 192.168.2.1 为 DHCP 服务器地址 [4]。

4. 验证命令

资料中 DAI 与 DHCP Snooping 联用部分提到了“检验结果”，但未提供具体显示命令 [4]。 可先使用 DHCP Snooping 表项验证 DHCP 绑定是否生成：

Device# show dhcp-snooping database

该命令在 ARP Check 与 DHCP Snooping 联用示例中被用于查看动态表项 [1]。

四、端口安全说明

用户问题中提到“端口安全”，但当前参考资料中未检索到 port-security 或端口安全相关配置命令，因此无法给出该部分的完整配置。 若需要配置端口安全，请补充具体设备型号、软件版本或提供对应手册章节关键词。

五、常见报错

当前参考资料中未检索到与该配置相关的常见报错信息，无法列出。

六、注意事项

  1. DHCP Snooping 必须先全局使能

使用 dhcp-snooping 命令全局开启，缺省情况下该功能处于禁用状态 [6]。

  1. 必须正确配置信任端口

只有配置为信任端口的接口才允许合法 DHCP 响应报文正常转发，否则非信任端口收到的 DHCP 响应会被丢弃 [6]。

  1. ARP Check 依赖 DHCP Snooping 表项

使能端口 ARP Check 后，ARP Check 会动态获取 DHCP Snooping 数据库中的表项并写入 ACL 硬件 [3]。

  1. ARP Check 缺省未开启

端口下缺省未使能 ARP Check，需要手动执行 arp-check enable [3]。

  1. ARP Check 示例对静态 IP 主机有访问限制

资料示例中，PC1 使用静态 IP，PC2 通过 DHCP 获取 IP；配置 DHCP Snooping 和 ARP Check 后，效果是 PC2 可以访问网络，而 PC1 不能访问网络 [2]。 如果现网中存在静态 IP 终端，需要评估是否会因缺少 DHCP Snooping 绑定表项而被拦截。

  1. DAI 示例端口类型需按实际替换

资料中 DAI 示例使用 tengigabitethernet 接口，实际配置时请根据设备真实端口类型修改接口名称 [4]。

  1. 资料中还提到可通过关闭动态 ARP 学习并使用静态 ARP 提高安全性

但当前资料片段未提供关闭动态 ARP 学习或配置静态 ARP 的完整命令，因此此处不展开 [5]。

七、推荐最小配置模板

DHCP Snooping + ARP Check 最小配置

configure terminal
vlan 2
exit
interface gigabitethernet 0/1-0/3
switchport access vlan 2
exit
dhcp-snooping
interface gigabitethernet 0/2
dhcp-snooping trust
exit
interface gigabitethernet 0/1
arp-check enable
exit
end

对应资料示例 [1][2][3][6]。

DHCP Snooping + DAI 最小配置

configure terminal
dhcp-snooping
interface tengigabitethernet 0/2
dhcp-snooping trust
exit
interface tengigabitethernet 0/1
ip arp inspection
exit
end

对应资料示例 [4][6]。

【参考出处】

[1] NSS4300 NSS4500 NSS5800(V1)系列交换机配置手册(V9.7.40.8(R)-20220429).md，章节：09 安全 > 1 ARP Check > 1.3 ARP Check典型配置举例 > 1.3.2 ARP Check与DHCP Snooping联用，行号：第 8 页 · 行 1136-1247。

[2] NSS4300 NSS4500 NSS5800(V1)系列交换机配置手册(V9.7.40.8(R)-20220429).md，章节：09 安全 > 1 ARP Check > 1.3 ARP Check典型配置举例 > 1.3.2 ARP Check与DHCP Snooping联用，行号：第 8 页 · 行 1136-1247。

[3] NSS4300 NSS4500 NSS5800(V1)系列交换机配置手册(V9.7.40.8(R)-20220429).md，章节：09 安全 > 1 ARP Check > 1.2 ARP Check功能配置 > 1.2.1 配置使能端口ARP Check功能，行号：第 8 页 · 行 927-957。

[4] NSS4300 NSS4500 NSS5800(V1)系列交换机配置手册(V9.7.40.8(R)-20220429).md，章节：在Device上配置CPU队列的速率限制为100pps。 > 9 Dynamic ARP Inspection > 9.3 DAI典型配置举例 > 9.3.2 DAI与DHCP Snooping联用，行号：第 8 页 · 行 5517-5653。

[5] NSS4300 NSS4500 NSS5800(V1)系列交换机配置手册(V9.7.40.8(R)-20220429).md，章节：04 IP协议及业务 > 1 ARP > 1.2 ARP功能配置 > 1.2.1 配置ARP基本功能，行号：第 1 页 · 行 9675-9827。

[6] NSS4300 NSS4500 NSS5800(V1)系列交换机配置手册(V9.7.40.8(R)-20220429).md，章节：在Device上配置CPU队列的速率限制为100pps。 > 7 DHCP snooping > 7.2 DHCP snooping功能配置 > 7.2.1 配置DHCP snooping基本功能，行号：第 8 页 · 行 4406-4482。

更多配置问题可进入 BOOKRAG 控制台 选择对应型号直接提问，回答基于该型号官方手册原文。