目  录

1 ARP配置

1.1 ARP简介

1.1.1 ARP作用

1.1.2 ARP报文结构

1.1.3 ARP地址解析过程

1.1.4 ARP表

1.2 配置ARP

1.2.1 手工添加静态ARP表项

1.2.2 配置接口学习动态ARP表项的最大数目

1.2.3 配置动态ARP表项的老化时间

1.2.4 使能ARP表项的检查功能

1.2.5 ARP配置举例

1.3 配置免费ARP

1.3.1 免费ARP简介

1.3.2 配置免费ARP

1.4 ARP显示和维护

2 ARP攻击防御配置

2.1 配置ARP主动确认功能

2.1.1 ARP主动确认功能简介

2.1.2 配置ARP主动确认功能

2.2 配置源MAC地址固定的ARP攻击检测功能

2.2.1 简介

2.2.2 配置源MAC地址固定的ARP攻击检测功能

2.2.3 源MAC地址固定的ARP攻击检测显示和维护

2.3 配置ARP报文限速功能

2.3.1 简介

2.3.2 配置ARP报文限速功能

2.4 配置ARP Detection功能

2.4.1 ARP Detection功能介绍

2.4.2 配置ARP Detection功能

2.4.3 ARP Detection显示和维护

2.4.4 ARP Detection典型配置举例一

2.4.5 ARP Detection典型配置举例二

2.5 配置定时发送免费ARP功能

2.5.1 定时发送免费ARP功能简介

2.5.2 配置定时发送免费ARP功能

1 ARP配置

1.1  ARP简介

1.1.1  ARP作用

ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。

在局域网中，当主机或其它网络设备有数据要发送给另一个主机或设备时，它必须知道对方的网络层地址（即IP地址）。但是仅仅有IP地址是不够的，因为IP数据报文必须封装成帧才能通过物理网络发送，因此发送站还必须有接收站的物理地址，所以需要一个从IP地址到物理地址的映射。APR就是实现这个功能的协议。

1.1.2  ARP报文结构

ARP报文分为ARP请求和ARP应答报文，报文格式如图1-1所示。

图1-1 ARP报文结构

l              硬件类型：表示硬件地址的类型。它的值为1表示以太网地址；

l              协议类型：表示要映射的协议地址类型。它的值为0x0800即表示IP地址；

l              硬件地址长度和协议地址长度分别指出硬件地址和协议地址的长度，以字节为单位。对于以太网上IP地址的ARP请求或应答来说，它们的值分别为6和4；

l              操作类型（OP）：1表示ARP请求，2表示ARP应答；

l              发送端MAC地址：发送方设备的硬件地址；

l              发送端IP地址：发送方设备的IP地址；

l              目标MAC地址：接收方设备的硬件地址。

l              目标IP地址：接收方设备的IP地址。

1.1.3  ARP地址解析过程

假设主机A和B在同一个网段，主机A要向主机B发送信息。如图1-2所示，具体的地址解析过程如下：

(1)        主机A首先查看自己的ARP表，确定其中是否包含有主机B对应的ARP表项。如果找到了对应的MAC地址，则主机A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给主机B。

(2)        如果主机A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为主机A的IP地址和MAC地址，目标IP地址和目标MAC地址为主机B的IP地址和全0的MAC地址。由于ARP请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请求的主机（即主机B）会对该请求进行处理。

(3)        主机B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端（即主机A）的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A，其中包含了自己的MAC地址。

(4)        主机A收到ARP响应报文后，将主机B的MAC地址加入到自己的ARP表中以用于后续报文的转发，同时将IP数据包进行封装后发送出去。

图1-2 ARP地址解析过程

当主机A和主机B不在同一网段时，主机A就会先向网关发出ARP请求，ARP请求报文中的目标IP地址为网关的IP地址。当主机A从收到的响应报文中获得网关的MAC地址后，将报文封装并发给网关。如果网关没有主机B的ARP表项，网关会广播ARP请求，目标IP地址为主机B的IP地址，当网关从收到的响应报文中获得主机B的MAC地址后，就可以将报文发给主机B；如果网关已经有主机B的ARP表项，网关直接把报文发给主机B。

1.1.4  ARP表

设备通过ARP解析到目的MAC地址后，将会在自己的ARP表中增加IP地址到MAC地址的映射表项，以用于后续到同一目的地报文的转发。

ARP表项分为动态ARP表项和静态ARP表项。

1. 动态ARP表项

动态ARP表项由ARP协议通过ARP报文自动生成和维护，可以被老化，可以被新的ARP报文更新，可以被静态ARP表项覆盖。当到达老化时间、接口down时会删除相应的动态ARP表项。

2. 静态ARP表项

静态ARP表项通过手工配置和维护，不会被老化，不会被动态ARP表项覆盖。

配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。

静态ARP表项分为短静态ARP表项和长静态ARP表项。

l              在配置长静态ARP表项时，除了配置IP地址和MAC地址项外，还必须配置该ARP表项所在VLAN和出接口。长静态ARP表项可以直接用于报文转发。

l              在配置短静态ARP表项时，只需要配置IP地址和MAC地址项。短静态ARP表项不能直接用于报文转发，当要发送IP数据包时，先发送ARP请求报文，如果收到的响应报文中的源IP地址和源MAC地址与所配置的IP地址和MAC地址相同，则将接收ARP响应报文的接口加入该静态ARP表项中，之后就可以用于IP数据包的转发。

1.2  配置ARP

1.2.1  手工添加静态ARP表项

静态ARP表项在设备正常工作时间一直有效，当设备的ARP表项所对应的VLAN或VLAN接口被删除时，如果是长静态ARP表项则被删除，如果是已经解析的短静态ARP表项则重新变为未解析状态。

表1-1 手工添加静态ARP表项

1.2.2  配置接口学习动态ARP表项的最大数目

表1-2 配置接口学习动态ARP表项的最大数目

1.2.3  配置动态ARP表项的老化时间

为适应网络的变化，ARP表需要不断更新。ARP表中的动态ARP表项并非永远有效，每一条记录都有一个生存周期，到达生存周期仍得不到刷新的记录将被从ARP表中删除，这个生存周期被称作老化时间。如果在到达生存周期前纪录被刷新，则重新计算老化时间。用户可以根据网络实际情况调整老化时间。

表1-3 配置动态ARP的老化时间

1.2.4  使能ARP表项的检查功能

ARP表项检查功能可以控制设备是否学习MAC地址为组播MAC的ARP表项。

l              使能ARP表项的检查功能后，若设备接收到的ARP报文中的源MAC地址为组播MAC，则不进行动态ARP表项的学习；且设备上不能配置MAC地址为组播MAC的静态ARP表项，否则会有错误提示。

l              关闭ARP表项的检查功能后，可以对源MAC地址为组播MAC的ARP表项进行学习，且可以配置MAC地址为组播MAC的静态ARP表项。

表1-4 使能ARP表项的检查功能

1.2.5  ARP配置举例

1. 组网需求

l              Switch连接主机，通过端口GigabitEthernet1/0/1连接Router。端口GigabitEthernet1/0/1属于VLAN 10。

l              Router的IP地址为192.168.1.1/24，MAC地址为00e0-fc01-0000。

为了增加Switch和Router通信的安全性，可以在Switch上配置静态ARP表项。

2. 组网图

图1-3 配置静态ARP表项组网图

3. 配置步骤

在Switch上进行下列配置。

# 创建VLAN 10。

<Switch> system-view

[Switch] vlan 10

[Switch-vlan10] quit

# 将端口GigabitEthernet 1/0/1加入到VLAN 10中。

[Switch] interface GigabitEthernet 1/0/1

[Switch-GigabitEthernet1/0/   1] port access vlan 10

[Switch-GigabitEthernet1/0/1] quit

# 创建接口Vlan-interface10，并配置IP地址。

[Switch] interface vlan-interface 10

[Switch-vlan-interface10] ip address 192.168.1.2 8

[Switch-vlan-interface10] quit

# 配置一条静态ARP表项，IP地址为192.168.1.1，对应的MAC地址为00e0-fc01-0000，此条ARP表项对应的出接口为属于VLAN 10的接口GigabitEthernet1/0/1。

[Switch] arp static 192.168.1.1 00e0-fc01-0000 10 GigabitEthernet 1/0/1

# 查看静态ARP表项信息。

[Switch] display arp static

                Type: S-Static    D-Dynamic 

IP Address       MAC Address     VLAN ID  Interface              Aging Type

192.168.1.1      00e0-fc01-0000  10       GE1/0/1                 N/A   S 

1.3  配置免费ARP

1.3.1  免费ARP简介

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。

设备通过对外发送免费ARP报文，实现以下功能：

l              确定其它设备的IP地址是否与本机IP地址冲突。

l              设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。

设备通过学习免费ARP报文，实现以下功能：

对于收到的免费ARP报文，如果ARP表中没有与此报文对应的ARP表项，就将免费ARP报文中携带的信息添加到本地动态ARP映射表中。

1.3.2  配置免费ARP

表1-5 配置免费ARP

1.4  ARP显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令清除ARP表中除授权类型外的ARP表项。

表1-6 ARP显示和维护

2 ARP攻击防御配置

ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行检测和解决。

2.1  配置ARP主动确认功能

2.1.1  ARP主动确认功能简介

ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。使能ARP主动确认功能之后，当收到的ARP报文中的源MAC地址和对应ARP表项中的不同时，设备首先判断ARP表项刷新时间是否超过1分钟，如果没有超过1分钟，则不更新ARP表项。否则向ARP表项对应的源发送一个单播ARP请求报文，如果在随后的5秒内收到ARP应答报文，则忽略之前收到的ARP攻击报文；如果没有收到ARP应答报文，则向之前收到的ARP报文对应的源发送一个单播ARP请求报文，如果在随后的5秒内收到了ARP应答报文，则根据之前收到的ARP报文更新ARP表项，否则ARP表项不会被修改。

2.1.2  配置ARP主动确认功能

表2-1 配置ARP主动确认功能

2.2  配置源MAC地址固定的ARP攻击检测功能

2.2.1  简介

本特性根据ARP报文的源MAC地址进行统计，在5秒内，如果收到同一源MAC地址的ARP报文超过一定的阈值，则认为存在攻击，打印对应的告警信息，并对此源MAC地址对应的用户进行限制。

只对上送CPU的ARP报文进行统计。

2.2.2  配置源MAC地址固定的ARP攻击检测功能

1. 配置源MAC地址固定ARP攻击检测模式

配置了源MAC地址固定的ARP攻击检测功能后，设备在5秒内收到某个MAC地址发送的ARP报文个数超过了设置的阈值后，如果设置的模式为过滤模式，则会打印告警信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的模式为监控模式，则只打印告警信息。

表2-2 配置源MAC地址固定ARP攻击检测模式

2. 配置保护MAC

用户可以配置受保护的MAC地址。配置保护MAC后，即使该MAC存在攻击也不会被检测过滤。

一般对于网关或重要服务器，可以将其MAC地址添加到保护MAC中。

表2-3 配置保护MAC

3. 配置源MAC固定的ARP防攻击检测表项的老化时间

表2-4 配置源MAC固定的ARP防攻击检测表项的老化时间

4. 配置源MAC固定ARP报文攻击检测的阈值

表2-5 配置源MAC固定ARP报文攻击检测的阈值

2.2.3  源MAC地址固定的ARP攻击检测显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后源MAC地址固定的ARP攻击检测的运行情况，通过查看显示信息验证配置的效果。

表2-6 源MAC固定的ARP攻击检测显示和维护

2.3  配置ARP报文限速功能

2.3.1  简介

为防止大量ARP报文对CPU进行冲击，需要对上送CPU的ARP报文进行限速。

2.3.2  配置ARP报文限速功能

表2-7 配置ARP报文限速功能

2.4  配置ARP Detection功能

2.4.1  ARP Detection功能介绍

为了防止黑客或攻击者通过ARP报文实施“中间人”攻击，用户可以通过配置ARP Detection功能，对于合法用户的ARP报文进行正常转发，否则丢弃，从而防止“中间人”攻击。

1. “中间人”攻击简介

按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。

如图2-1所示，Host A和Host C通过Switch进行通信。此时，如果有黑客（Host B）想探听Host A和Host C之间的通信，它可以分别给这两台主机发送伪造的ARP应答报文，使Host A和Host C用MAC_B更新自身ARP映射表中与对方IP地址相应的表项。此后，Host A和Host C之间看似“直接”的通信，实际上都是通过黑客所在的主机间接进行的，即Host B担当了“中间人”的角色，可以对信息进行窃取和篡改。这种攻击方式就称作“中间人”攻击。

图2-1 ARP“中间人”攻击示意图

2. ARP Detection工作原理

某VLAN内开启ARP Detection功能后，该VLAN内所有端口接收到的ARP（请求与应答）报文将被重定向到CPU进行报文的用户合法性检查和报文有效性检查：如果认为该ARP报文合法，则进行转发；否则直接丢弃。

(1)        用户合法性检查

用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在端口上的合法用户，包括基于DHCP Snooping安全表项的检查、基于802.1X安全表项的检查和基于IP和MAC静态绑定表项的检查。用户可以任意选择使能哪些功能，各功能可以共存。

l              基于DHCP Snooping安全表项的检查。主要针对仿冒用户的攻击。对于ARP非信任端口，如果配置了基于DHCP Snooping安全表项检查模式且所属VLAN使能了ARP Detection功能，则从该端口上送的ARP报文需进行DHCP Snooping安全表项检查。如果查找到对应的表项，并且均与表项记录一致（IP地址，MAC地址，端口索引，VLAN ID等）则检查通过，否则如果参数不一致或者没有查找到对应的表项，则认为是攻击报文，检查不通过。对于信任端口，不进行DHCP Snooping安全表项检查。对于没有使能ARP Detection的VLAN，即使在ARP非信任端口上，也不进行DHCP Snooping安全表项检查。

l              基于802.1X安全表项的检查。主要针对仿冒用户的攻击。对于ARP非信任端口，如果配置了基于802.1X安全表项检查模式且所属VLAN使能了ARP Detection功能，则从该端口上送的ARP报文需进行802.1X安全表项检查。对于源IP地址＋源MAC地址＋端口索引＋VLAN ID都一致或源IP地址不存在但源MAC地址为OUI MAC地址的情况，认为是合法报文检查通过；否则认为是攻击报文进行丢弃处理。

l              基于IP和MAC静态绑定表项的检查。主要针对仿冒网关的攻击。不论对于ARP非信任端口，还是信任端口，只要配置了基于IP和MAC静态绑定表项检查模式且所属VLAN使能了ARP Detection功能，则从该端口上送的ARP报文需进行基于IP和MAC静态绑定表项检查。对于源IP存在绑定关系但是MAC地址不符的ARP报文，设备认为是非法报文进行丢弃处理；对于源IP不存在绑定关系和源IP存在绑定关系且MAC地址相符的ARP报文，设备认为是合法报文，检查通过。

如果同时使能基于三种表项的检查功能，则先进行IP和MAC静态绑定表项检查，然后进行DHCP Snooping安全表项检查，最后进行802.1X安全表项检查。其中，IP和MAC静态绑定表项必须检查，用于保护网关，在IP和MAC静态绑定表项检查通过后，用户只需通过DHCP Snooping安全表项或者802.1X安全表项两者之一的检查，即认为用户为合法用户。

用户可以根据组网环境的不同，选择不同的检查方式：

l              当网络中存在网关，需要对网关进行保护时，可以配置ARP Detection采用基于IP和MAC静态绑定表项的检查模式，设备会对上送的ARP报文进行基于IP和MAC静态绑定表项检查。

l              当接入设备连接的用户均为DHCP动态获取IP地址的用户时，可以配置DHCP Snooping功能，并配置ARP Detection采用DHCP Snooping检查模式，设备会依据动态DHCP Snooping表项进行ARP报文的用户合法性检查。

l              当接入设备连接的用户为静态IP地址分配方式时，可以配置IP Source Guard静态绑定表项（通过user-bind命令生成），并配置ARP Detection采用DHCP Snooping检查模式，设备会依据IP Source Guard静态绑定表项进行ARP报文的用户合法性检查。

l              当接入设备连接的用户较多，且大部分为静态IP地址分配方式时，逐条配置IP Source Guard静态绑定表项，工作量比较大，配置容易出错。此时，如果用户安装了802.1X客户端，建议开启设备的802.1X认证，设置客户端使用上传IP地址方式，并配置ARP Detection采用802.1X检查模式。这样，设备会将其记录的802.1X认证用户的IP地址、MAC地址、VLAN ID和端口的对应关系用于ARP Detection检测功能。

(2)        ARP报文有效性检查

对于ARP信任端口，不进行报文有效性检查；对于ARP非信任端口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。

l              对于源MAC地址的检查模式，会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致认为有效，否则丢弃；

l              对于目的MAC地址的检查模式（只针对ARP应答报文），会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，无效的报文需要被丢弃；

l              对于IP地址检查模式，会检查ARP报文中的源IP和目的IP地址，全0、全1、或者组播IP地址都是不合法的，需要丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。

2.4.2  配置ARP Detection功能

1. 配置用户合法性检查功能

表2-8 配置用户合法性检查功能

2. 配置ARP报文有效性检查功能

进行下面的配置之前，需要保证已经配置了arp detection enable命令。

表2-9 配置ARP报文有效性检查功能

2.4.3  ARP Detection显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP Detection的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令清除ARP Detection的统计信息。

表2-10 ARP Detection显示和维护

2.4.4  ARP Detection典型配置举例一

1. 组网需求

l              Host A是DHCP客户端；用户Host B的IP地址是10.1.1.6，MAC地址是0001-0203-0607。

l              Switch A是DHCP Snooping设备，在VLAN 10内启用ARP Detection功能，对DHCP客户端和用户进行保护，保证合法用户可以正常转发报文，否则丢弃。

2. 组网图

图2-2 ARP Detection典型配置举例一组网图

3. 配置步骤

(1)        配置组网图中所有端口属于VLAN 10（略）

(2)        配置DHCP服务器（略）

(3)        配置DHCP客户端Host A和用户Host B（略）

(4)        配置设备Switch A

# 配置DHCP Snooping功能。

<SwitchA> system-view

[SwitchA] dhcp-snooping

[SwitchA] interface GigabitEthernet  1/0/3

[SwitchA-GigabitEthernet1/0/3] dhcp-snooping trust

[SwitchA-GigabitEthernet1/0/3] quit

# 使能ARP Detection功能，对用户合法性进行检查。

[SwitchA] vlan 10

[SwitchA-vlan10] arp detection enable

# 端口状态缺省为非信任状态，上行端口配置为信任状态，下行端口按缺省配置。

[SwitchA-vlan10] interface GigabitEthernet 1/0/3

[SwitchA-GigabitEthernet1/0/3] arp detection trust

[SwitchA-GigabitEthernet1/0/3] quit

# 在端口GigabitEthernet1/0/2上配置IP Source Guard静态绑定表项。

[SwitchB] interface GigabitEthernet 1/0/2

[SwitchB-GigabitEthernet1/0/2] user-bind ip-address 10.1.1.6 mac-address 0001-0203-0607 vlan 10

[SwitchB-GigabitEthernet1/0/2] quit

# 配置采用基于DHCP Snooping安全表项的检查模式进行用户合法性检查。

[SwitchA] arp detection mode dhcp-snooping

# 配置进行报文有效性检查。

[SwitchA] arp detection validate dst-mac ip src-mac

完成上述配置后，对于端口GigabitEthernet 1/0/1和GigabitEthernet 1/0/2收到的ARP报文，先进行报文有效性检查，然后进行DHCP Snooping安全表项进行用户合法性检查。

2.4.5  ARP Detection典型配置举例二

1. 组网需求

l              Switch A是802.1X设备，在VLAN 10内启用ARP Detection功能，对认证客户端进行保护，保证合法用户可以正常转发报文，否则丢弃。

l              Host A和Host B是本地802.1X接入用户。

2. 组网图

图2-3 ARP Detection典型配置举例二组网图

3. 配置步骤

(1)        配置组网图中所有端口属于VLAN 10（略）

(2)        配置DHCP服务器（略）

(3)        配置客户端Host A和Host B（略），必须使用上传IP地址方式。

(4)        配置设备Switch A

# 配置dot1x功能。

<SwitchA> system-view

[SwitchA] dot1x

[SwitchA] interface GigabitEthernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] dot1x

[SwitchA-GigabitEthernet1/0/1] quit

[SwitchA] interface GigabitEthernet 1/0/2

[SwitchA-GigabitEthernet1/0/2] dot1x

[SwitchA-GigabitEthernet1/0/2] quit

# 添加本地接入用户。

[SwitchA] local-user test

[SwitchA-luser-test] service-type lan-access

[SwitchA-luser-test] password simple test

[SwitchA-luser-test] quit

# 使能ARP Detection功能，对用户合法性进行检查。

[SwitchA] vlan 10

[SwitchA-vlan10] arp detection enable

# 端口状态缺省为非信任状态，上行端口配置为信任状态，下行端口按缺省配置。

[SwitchA-vlan10] interface GigabitEthernet 1/0/3

[SwitchA-GigabitEthernet1/0/3] arp detection trust

[SwitchA-GigabitEthernet1/0/3] quit

# 配置802.1X检测模式进行用户合法性检查。

[SwitchA] arp detection mode dot1x

完成上述配置后，对于端口GigabitEthernet 1/0/1和GigabitEthernet 1/0/2收到的ARP报文，需基于802.1X安全表项进行用户合法性检查。

2.5  配置定时发送免费ARP功能

2.5.1  定时发送免费ARP功能简介

如果攻击者仿冒网关发送免费ARP报文，就可以欺骗同网段内的其它主机，使得被欺骗的主机访问网关的流量，被重定向到一个错误的MAC地址，导致其它主机用户无法正常访问网络。

为了尽量避免这种仿冒网关的ARP攻击，可以在网关的接口上使能定时发送免费ARP功能。使能该功能后，网关接口上将按照配置的时间间隔周期性发送接口主IP地址和手工配置的从IP地址的免费ARP报文，这样，每台主机都可以学习到正确的网关，从而正常访问网络。

2.5.2  配置定时发送免费ARP功能

表2-11 配置定时发送免费ARP功能