实用文案
图1二层交换机防ARP攻击组网
S3552P是三层设备，其中IP：100.1.1.1是所有PC的网关，S3552P上的网关MAC地址为000f-e200-3999。PC-B上装有ARP攻击软件。现在需要对S3026C_A进行一些特殊配置，目的是过滤掉仿冒网关IP的ARP报文。 三、配置步骤
对于二层交换机如S3026C等支持用户自定义ACL（number为5000到5999）的交换机，可以配置ACL来进行ARP报文过滤。
全局配置ACL禁止所有源IP是网关的ARP报文 acl num 5000
rule 0 deny 0806 ffff 24 64010101 ffffffff 40
rule 1 permit 0806 ffff 24 000fe2003999 ffffffffffff 34
其中rule0把整个S3026C_A的端口冒充网关的ARP报文禁掉，其中斜体部分64010101是网关IP地址100.1.1.1的16进制表示形式。Rule1允许通过网关发送的ARP报文，斜体部分为网关的mac地址000f-e200-3999。
注意：配置Rule时的配置顺序，上述配置为先下发后生效的情况。
标准文档
实用文案
在S3026C-A系统视图下发acl规则： [S3026C-A] packet-filter user-group 5000
这样只有S3026C_A上连网关设备才能够发送网关的ARP报文，其它主机都不能发送假冒网关的arp响应报文。
三层交换机实现仿冒网关的ARP防攻击 一、组网需求：
1. 三层交换机实现防止同网段的用户仿冒网关IP的ARP攻击 二、组网图
图2 三层交换机防ARP攻击组网 三、配置步骤
1. 对于三层设备，需要配置过滤源IP是网关的ARP报文的ACL规则，配置如下ACL规则： acl number 5000
rule 0 deny 0806 ffff 24 64010105 ffffffff 40
rule0禁止S3526E的所有端口接收冒充网关的ARP报文，其中斜体部分64010105是网关IP地址100.1.1.5的16进制表示形式。 2. 下发ACL到全局
标准文档
实用文案
[S3526E] packet-filter user-group 5000 仿冒他人IP的ARP防攻击 一、组网需求：
作为网关的设备有可能会出现错误ARP的表项，因此在网关设备上还需对用户仿冒他人IP的ARP攻击报文进行过滤。 二、组网图： 参见图1和图2 三、配置步骤：
1. 如图1所示，当PC-B发送源IP地址为PC-D的arp reply攻击报文，源mac是PC-B的mac (000d-88f8-09fa)，源ip是PC-D的ip(100.1.1.3)，目的ip和mac是网关（3552P）的，这样3552上就会学习到错误的arp，如下所示：
--------------------- 错误 arp 表项 --------------------------------
IP Address MAC Address VLAN ID Port Name Aging Type 100.1.1.4 000d-88f8-09fa 1 Ethernet0/2 20 Dynamic 100.1.1.3 000f-3d81-45b4 1 Ethernet0/2 20 Dynamic 从网络连接可以知道PC-D的arp表项应该学习到端口E0/8上，而不应该学习到E0/2端口上。但实际上交换机上学习到该ARP表项在E0/2。上述现象可以在S3552上配置静态ARP实现防攻击：
arp static 100.1.1.3 000f-3d81-45b4 1 e0/8
2. 在图2 S3526C上也可以配置静态ARP来防止设备学习到错误的ARP表项。 3. 对于二层设备（S3050C和S3026E系列），除了可以配置静态ARP外，还可以配置IP＋MAC＋port绑定，比如在S3026C端口E0/4上做如下操作：
标准文档
实用文案
am user-bind ip-addr 100.1.1.4 mac-addr 000d-88f8-09fa int e0/4
则IP为100.1.1.4并且MAC为000d-88f8-09fa的ARP报文可以通过E0/4端口，仿冒其它设备的ARP报文则无法通过，从而不会出现错误ARP表项。 四、配置关键点：
此处仅仅列举了部分Quidway S系列以太网交换机的应用。在实际的网络应用中，请根据配置手册确认该产品是否支持用户自定义ACL和地址绑定。仅仅具有上述功能的交换机才能防止ARP欺骗。
5，关于ACL规则匹配的说明
a) ACL直接下发到硬件中的情况
交换机中ACL可以直接下发到交换机的硬件中用于数据转发过程中的过滤和流分类。此时一条ACL中多个子规则的匹配顺序是由交换机的硬件决定的，用户即使在定义ACL时配置了匹配顺序也不起作用。
ACL直接下发到硬件的情况包括：交换机实现QoS功能时引用ACL、硬件转发时通过ACL过滤转发数据等。
b) ACL被上层模块引用的情况
交换机也使用ACL来对由软件处理的报文进行过滤和流分类。此时ACL子规则的匹配顺序有两种：config（指定匹配该规则时按用户的配置顺序）和auto（指定匹配该规则时系统自动排序，即按“深度优先”的顺序）。这种情况下用户可以在定义ACL的时候指定一条ACL中多个子规则的匹配顺序。用户一旦指定某一条访问控制列表的匹配顺序，就不能再更改该顺序。只有把该列表中所有的规则全部删除后，才能重新指定其匹配顺序。 ACL被软件引用的情况包括：路由策略引用ACL、对登录用户进行控制时引用ACL等。
标准文档
实用文案
交换机配置（四）密码恢复
说明：以下方法将删除原有config文件，使设备恢复到出厂配置。 在设备重启时按Ctrl+B进入BOOT MENU之后， Press Ctrl-B to enter Boot Menu... 5 Password : 缺省为空，回车即可 1. Download application file to flash 2. Select application file to boot 3. Display all files in flash 4. Delete file from Flash 5. Modify bootrom password 0. Reboot
Enter your choice(0-5): 4 选择4
No. File Name File Size(bytes)
===========================================================================
1 S3026CGSSI.btm 257224 2 wnm2.2.2-0005.zip 447827 3 snmpboots 4 4 * R0023P01.app 2985691 5 hostkey 428 6 serverkey 572 7 vrpcfg.txt 1281
标准文档
华为交换机各种配置实例
