Dynamic ARP Inspection

このページで学ぶこと

• DAI Security Role
• DAI VLAN Enable
• DAI Trust State
• DAI Untrusted ARP Validation
• DAI DHCP Snooping Binding Validation
• DAI Static Host Handling
• DAI ARP ACL Minimum Configuration
• DAI Additional Validation Checks
• DAI Verification
• DAI Misconfiguration Diagnosis
• DAI Rate Limit and Error-disable

DAIの役割

Dynamic ARP Inspection（DAI）はUntrusted Portから受信したARPを検査し、ARP Spoofing / Poisoningによる不正なIP-MAC対応付けを防ぎます。DAIはARP RequestとARP Replyの両方を検査対象にできます。

VLANとTrust

ip arp inspection vlan <vlan> で対象VLANへDAIを有効化します。Client-facing Portは通常Untrusted、正当なInfrastructure側PortはTopologyに応じてTrustedにします。Trusted PortではDAI検査をBypassするため、Trustの広げ過ぎは保護を弱めます。

DHCP Snooping Binding

DHCPでAddressを取得したHostでは、DAIはDHCP Snooping Binding DatabaseのIP-MAC-VLAN-Interface情報を利用してARPを検証できます。BindingがないStatic IP Hostを同じ前提で扱うと正当なARPまで拒否する可能性があります。

Static IP HostとARP ACL

arp access-list <name> でARP ACL Configuration Modeへ入り、permit ip host <ip> mac host <mac> でStatic Hostの許可IP-MAC Pairを定義します。続けて ip arp inspection filter <name> vlan <vlan> で対象VLANのDAIへ適用できます。複雑なFallback設計はこのページの範囲外です。

追加Validation・Rate Limit・確認

必要に応じて ip arp inspection validate src-mac dst-mac ip を使用できます。Untrusted PortのARP Rate Limitはデフォルト15 ppsで、超過時はInterfaceがerror-disabledになります。show ip arp inspection やStatistics、DHCP Snooping Bindingを組み合わせて確認します。