arp欺骗的解决办法.docVIP

arp欺骗的解决办法 问题：当存在arp欺骗时，cmts的show arp命令里显示不出来相应ip地址的mac地址信息： C3#show interfaces cable 1/0 modem 0 SID Priv bits Type State IP address method MAC address 520 0 modem up 0 dhcp 0013.71d8.dca8 520 0 cpe unknown 0 dhcp 000a.e66c.4d75 520 0 cpe unknown dhcp 000a.e66c.4d75 520 0 cpe unknown 03 dhcp 000a.e66c.4d75 C3#show arp Prot Address Age(min) Hardware Addr Vlan Type Interface IP - 0000.cab9.30c1 - ARPA Cable 1/0.0 IP 2 12 0004.617d.23f4 - ARPA Cable 1/0.1 IP 0 0 000a.e66c.4d75 - ARPA Cable 1/0.1 我们可以看到里面没有的mac信息。 解决办法：这里使用的是路由模式，default cpe sub-interface为cable 1/0.1，在cable 1/0.1使用cable source-verify命令后，重启有arp欺骗的cm 0013.71d8.dca8，问题就解决了。 ！ip routing ！default cm subinterface Cable 1/0.0 ！default cpe subinterface Cable 1/0.1 C3(config)#int cable 1/0.1 C3(config-subif)#cable source-verify C3(config-subif)#end C3#clear cable modem 0013.71d8.dca8 re C3#show arp Prot Address Age(min) Hardware Addr Vlan Type Interface IP - 0000.cab9.30c1 - ARPA Cable 1/0.0 IP - 0000.cab9.30c1 - ARPA Cable 1/0.1 C3#show interfaces cable 1/0 modem 520 SID Priv bits Type State IP address method MAC address 520 0 modem up 0 dhcp 0013.71d8.dca8 520 0 cpe unknown 0 dhcp 000a.e66c.4d75 问题：当使用cable source-verify 命令都不能解决arp欺骗时，我们需要更改相应cpe的策略。下面的例子cmts工作在桥接模式下，子接口加了cable source-verify命令，但我们仍然看到有arp欺骗存在，下面是cmts的一些配置： no ip routing default cpe subinterface Cable 1/0.0 default cm subinterface Cable 1/0.0 interface Cable 1/0 bridge-group 0 cable source-verify C3#show interfaces cable 1/0 modem 0 SID Priv bits Type State IP address method MAC address 180 0 modem up 55 dhcp 00e0.6fb1.f5d6 180 0 cpe unknown 56 dhcp 00e0.