锐捷交换机NFPP配置案例
一、组网需求
核心设备下挂3000个用户，其中一个端口最大用户数为200个，接入交换机所携带的用户数不超过200，接入交换机的每个端口最大用户数6个，所有的接入设备都启用DHCP Snooping+DAI功能防ARP欺骗。为了防止非法攻击，占用交换机的CPU资源，需要调整NFPP的相关参数实现防攻击
二、组网拓扑
三、配置要点
1、根据需求调整接入交换机NFPP功能参数，由于接入交换机开启了DAI功能，网关发送的ARP报文到接入交换机后都需要送CPU处理，为了防止正常的ARP等报文被NFPP丢弃，需要关闭上联口的NFPP相关功能，并放大接入交换机的CPP限速（默认限速180PPS在DAI场景中偏小）
2、根据核心的用户数量，调整核心交换机NFPP基于端口的限速/攻击检测参数
3、为了避免NFPP产生的LOG太多，通过命令调整LOG打印速率
四、配置步骤
接入交换机配置：
1、配置交换机的防ARP欺骗功能，具体也可以参见DHCP环境防ARP欺骗章节中DHCP Snooping+DAI方案。
Ruijie#configure terminal
Ruijie(config)#vlan 10
Ruijie(config-vlan)#exit
Ruijie(config)#ip arp inspection vlan 10
Ruijie(config)#ip dhcp snooping
Ruijie(config)#interface gigabitEthernet 0/25
Ruijie(config-if-GigabitEthernet 0/25)#switchport mode trunk
Ruijie(config-if-GigabitEthernet 0/25)#ip dhcp snooping trust
Ruijie(config-if-GigabitEthernet 0/25)#ip arp inspection trust
Ruijie(config-if-GigabitEthernet 0/25)#exit
Ruijie(config)#interface range fastEthernet 0/1-24
Ruijie(config-if-range)#switchport access vlan 10
Ruijie(config-if-range)#end
Ruijie#
2、NFPP功能配置：
1）全局NFPP配置
默认交换机的NFPP功能是开启的，二层交换机参数无需调整，只需将上联口NFPP关闭，同时由于开启了DAI的原因，需要调整放大CPP。
Ruijie(config)#cpu-protect type arp pps 500 ，如果没有使用DAI，CPP也无需调整。
全局下的NFPP调整参数如下
Ruijie(config-nfpp)#log-buffer entries 1024 ------>设置NFPP log缓存的容量为1024条（默认256）
Ruijie(config-nfpp)#log-buffer logs 1 interval 300 ------>为避免NFPP产生的LOG太多，调整每次打印一条相同log信息的阀值为300秒
Ruijie(config-nfpp)#exit
Ruijie(config)#
2）接口NFPP配置
为了防止大量网关发送的正常的相关报文（特别是网关发送的ARP请求或回应报文）被接入交换机误认为是攻击被丢弃，从而导致下联用户无法获取网关的ARP信息而无法上网，需要将上联口的NFPP功能关闭
Ruijie(config)#int g0/25
Ruijie(config-if-GigabitEthernet 0/25)#no nfpp arp-guard enable ------>关闭接口的ARP-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测
Ruijie(config-if-GigabitEthernet 0/25)#no nfpp dhcp-guard enable ------>关闭接口的dhcp-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测
Ruijie(config-if-GigabitEthernet 0/25)#no nfpp dhcpv6-guard enable ------>关闭接口的dhcpv6-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测
Ruijie(config-if-GigabitEthernet 0/25)#no nfpp icmp-guard enable ------>关闭接口的icmp-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测
Ruijie(config-if-GigabitEthernet 0/25)#no nfpp ip-guard enable ------>关闭接口的ip-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测
Ruijie(config-if-GigabitEthernet 0/25)#no nfpp nd-guard enable ------>关闭接口的nd-guard功能，关闭该功能后，该接口进入的数据报文不进行NFPP检测
Ruijie(config-if-GigabitEthernet 0/25)#exit
Ruijie(config)#
核心交换机NFPP配置：
只做下述调整即可：
Ruijie(config)#nfpp
Ruijie(config-nfpp)#arp-guard attack-threshold per-port 800 ------>设置每个端口的攻击阀值为800个，超过此值丢弃并打印攻击日志
Ruijie(config-nfpp)#arp-guard rate-limit per-port 500 ------>每个端口每秒限速500个arp报文，多余的ARP报文将被丢弃（默认限速阀值是100个偏小）
Ruijie(config-nfpp)#log-buffer entries 1024 ------>设置NFPP log缓存的容量为1024条（默认256）
Ruijie(config-nfpp)#log-buffer logs 1 interval 300 ------>调整log打印频率为300S打印1次
Ruijie(config-nfpp)#exit
Ruijie(config)#
如果需要开启硬件隔离，为了防止误判，应放大限速及攻击检测的阈值。
注意：
隔离功能通常不建议开启，在汇聚设备上如果用户攻击非常频繁，导致设备CPU90%以上，此事可以考虑进行硬件隔离，并放大当前攻击的检测阈值，防止误判。因为一旦隔离将会导致这些攻击性质的用户无法上网，接入设备上不要开启NFPP硬件隔离。
Ruijie(config)#nfpp ------>进入NFPP配置模式
Ruijie(config-nfpp)#arp-guard isolate-period 600 ------>超过ARP攻击阀值后，对用户进行隔离，设置隔离时间为600秒
Ruijie(config-nfpp)#arp-guard attack-threshold per-src-mac 30 ------>设置每个mac的攻击阀值为10个，如果交换机检测每个mac发送的ARP报文大于10个，那么交换机会把该用户放入ARP攻击表，可以对这些用户进行硬件隔离（默认不进行硬件隔离，可以进行配置隔离时间进行隔离，设置隔离时间后会占用硬件表项资源。默认每MAC的攻击阀值是8个）
Ruijie(config-nfpp)#arp-guard attack-threshold per-src-ip 30 ------>设置每个IP的攻击阀值为10个，如果交换机检测每个IP发送的ARP报文大于10个，那么交换机会把该用户放入ARP攻击表，可以对这些用户进行硬件隔离（默认不进行硬件隔离，可以进行配置隔离时间进行隔离，设置隔离时间后会占用硬件表项资源。默认每IP的攻击阀值是8个）
Ruijie(config-nfpp)#arp-guard rate-limit per-src-mac 20 ------>每个mac每秒限速6个arp报文，多余的ARP报文将被丢弃（默认限速阀值是4个）
Ruijie(config-nfpp)#arp-guard rate-limit per-src-ip 20 ------>每个IP每秒限速6个arp报文，多余的ARP报文将被丢弃（默认限速阀值是4个）
Ruijie(config-nfpp)#ip-guard attack-threshold per-src-ip 80 ------>设置IP攻击阀值为40个每IP
Ruijie(config-nfpp)#ip-guard isolate-period 600 ------>超过IP攻击阀值后，对用户进行隔离，设置隔离时间为600秒
五、功能验证
1、查看ARP-guard的全局配置情况（不同软件版本的阀值可能有所区别，具体以实际show出来的结果为准）
2、查看ARP-guard的扫描表：
3、查看ARP-guard被隔离的用户
4、查看放入日志缓冲区的用户
六、常见NFPP相关log信息的说明
1）*Dec 26 13:37:10:%NFPP_ARP_GUARD-4-SCAN: Host<IP=1.1.1.1,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was detected.(2012-12-26 13:00:04)
a、日志内容最后面括号中的时间是检测到扫描的时间，事件产生的时间，但是日志打印的时间是条目最前面的时间戳；
b、该日志表示的是per-src-mac/per-src-ip检测条件的扫描水线（arp-guard rate-limit ）超过阀值，告警，里面包含了MAC地址信息，端口，vlan等；
c、该日志只是一个提醒功能，不会做隔离，在网关设备带机数比较大的情况下，可能会经常报这样的类似log，如果当前运行正常，可不关注；如果影响使用，或者信息比较异常（比如报的ip根本不存在），那么需要考虑可能存在的攻击，欺骗情况
d、show nfpp arp-guard scan/hosts命令来查看具体的超告警水线，超攻击水线的用户记录。
2）*Dec 26 13:46:10:%NFPP_ARP_GUARD-4-SCAN_TABLE_FULL: ARP scan table is full.
a、ARP 扫描表只保存最新的256 条记录。当ARP 扫描表满的时候，会打印日志提醒管理员，针对该日志不需要做任何处理。
b、扫描表只是存储nfpp log的地方，如果表满了那么新的日志就会覆盖旧的日志，仅此而已，该事件对用户使用不会产生任何影响。
c、可以通过clear nfpp log命令来清空专属缓冲区的log，不影响其他日志的存储。
d、可以通过调整NFPP log buffe的缓冲区及调整打印时间值来降低打印频率：
Ruijie(config)#nfpp
Ruijie(config-nfpp)#log-buffer entries 1024 ------>设置NFPP log缓存的容量为1024条
Ruijie(config-nfpp)#log-buffer logs 1 interval 300 ------>为避免NFPP产生的LOG太多，调整每次打印一条相同log信息的阀值为300秒
3）*Dec 26 13:55:10:%NFPP_ARP_GUARD-4-DOS_DETECTED: Host<IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was detected.(2012-12-26 13:43:04)
a、设备检测到有arp攻击的事件的日志记录，基于per-src-mac的攻击水线达到告警值，设备记录了该用户的MAC，端口，vlan信息。
b、这个信息也只是作为提醒，不会做硬件隔离，但是超过扫描阀值的部分报文会被设备丢弃，已保护cpu。
c、如果检测的信息包含的都是合法的用户，并且经过管理员确认后确认不存在攻击可能性的话，那么需要考虑是否是大用户数的情况，或者是否流量比较大，此时可能需要考虑调整arp-guard里面的各项参数到合理的值。
d、show nfpp arp-guard scan/hosts命令来查看具体的超告警水线，超攻击水线的用户记录。
4）*Dec 26 14:19:10:%NFPP_ARP_GUARD-4-ISOLATED:Host <IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1> was isolated.(2012-12-26 14:19:0）
a、管理员配置了硬件隔离功能，该用户将被隔离isolate-period时间，这段时间用户发起的任何报文都直接被硬件丢弃，不送cpu。
b、show nfpp arp-guard hosts命令可以查看被隔离的用户信息，不打*标记的用户表示已经被硬件隔离成功。
5）*Dec 26 14:23:10:%NFPP_ARP_GUARD-4-ISOLATE_FAILED: Failed to isolate host <IP=N/A,MAC=0000.0000.0004,port=Gi4/1,VLAN=1>.(2012-12-26 14:22:50)
a、当硬件隔离失败（原因通常是内存不足或者硬件资源不足）时，打印的日志信息
b、硬件隔离功能开启会消耗slice资源，每个用户占用一条ACE，整机硬件隔离的总数254个，不可调整
6）ip-guard的日志通arp-guard的日志类似，这里不在举例。
