背景信息
如果大量用户在同一时间段内向设备发送大量ARP报文，或者攻击者伪造正常用户的ARP报文发送给设备，则会造成下面的危害：
- 设备因处理大量ARP报文而导致CPU负荷过重，同时设备学习大量的ARP报文可能导致设备ARP表项资源被无效的ARP条目耗尽，造成合法用户的ARP报文不能继续生成ARP条目，导致用户无法正常通信。
- 伪造的ARP报文将错误地更新设备ARP表项，导致合法用户无法正常通信。
为避免上述危害，可以在网关设备上使能ARP表项严格学习功能。只有本设备主动发送的ARP请求报文的应答报文才能触发本设备学习ARP，其他设备主动向本设备发送的ARP报文不能触发本设备学习ARP，这样，可以拒绝大部分的ARP报文攻击。
操作步骤
- 全局ARP表项严格学习
- 依次单击“配置 > 安全业务管理 > IP安全 > ARP表项严格学习”菜单，进入“ARP表项严格学习”页面。
- 单击“全局ARP表项严格学习”后的按钮，开启全局的ARP表项严格学习的功能。
- 接口的ARP表项严格学习
- 依次单击“配置 > 安全业务管理 > IP安全 > ARP表项严格学习”菜单，进入“ARP表项严格学习”页面。
- 勾选需要操作的接口名称，或在需要操作的接口表项任意处单击，完成相关配置。
- 单击“开启”或在下拉菜单中选择“开启”，开启接口的ARP表项严格学习功能。
- 单击“关闭”或在下拉菜单中选择“关闭”，关闭接口的ARP表项严格学习功能。
- 单击“跟随全局”或在下拉菜单中选择“跟随全局”，配置接口的ARP表项严格学习功能与全局的ARP表项严格学习功能保持一致。
- 单击“刷新”，刷新接口配置列表，查看接口的ARP表项严格学习情况。