Cisco Systems 3750E 用户手册

下载
页码 1236
 
23-7
Catalyst 3750-E and 3560-E Switch Software Configuration Guide
OL-9775-02
Chapter 23      Configuring Dynamic ARP Inspection
Configuring Dynamic ARP Inspection
The operating rate for the port channel is cumulative across all the physical ports within the channel. 
For example, if you configure the port channel with an ARP rate-limit of 400 pps, all the interfaces 
combined on the channel receive an aggregate 400 pps. The rate of incoming ARP packets on 
EtherChannel ports is equal to the sum of the incoming rate of packets from all the channel 
members. Configure the rate limit for EtherChannel ports only after examining the rate of incoming 
ARP packets on the channel-port members.
The rate of incoming packets on a physical port is checked against the port-channel configuration 
rather than the physical-ports configuration. The rate-limit configuration on a port channel is 
independent of the configuration on its physical ports. 
If the EtherChannel receives more ARP packets than the configured rate, the channel (including all 
physical ports) is placed in the error-disabled state.
Make sure to limit the rate of ARP packets on incoming trunk ports. Configure trunk ports with 
higher rates to reflect their aggregation and to handle packets across multiple dynamic ARP 
inspection-enabled VLANs. You also can use the ip arp inspection limit none interface 
configuration command to make the rate unlimited. A high rate-limit on one VLAN can cause a 
denial-of-service attack to other VLANs when the software places the port in the error-disabled 
state.
Configuring Dynamic ARP Inspection in DHCP Environments
This procedure shows how to configure dynamic ARP inspection when two switches support this 
feature. Host 1 is connected to Switch A, and Host 2 is connected to Switch B as shown in 
. Both switches are running dynamic ARP inspection on VLAN 1 where the hosts are 
located. A DHCP server is connected to Switch A. Both hosts acquire their IP addresses from the same 
DHCP server. Therefore, Switch A has the bindings for Host 1 and Host 2, and Switch B has the binding 
for Host 2.
Note
Dynamic ARP inspection depends on the entries in the DHCP snooping binding database to verify 
IP-to-MAC address bindings in incoming ARP requests and ARP responses. Make sure to enable DHCP 
snooping to permit ARP packets that have dynamically assigned IP addresses. For configuration 
information, see 
For information on how to configure dynamic ARP inspection when only one switch supports the 
feature, see the 
.
Beginning in privileged EXEC mode, follow these steps to configure dynamic ARP inspection. You 
must perform this procedure on both switches. This procedure is required.
Command
Purpose
Step 1
show cdp neighbors
Verify the connection between the switches.
Step 2
configure terminal
Enter global configuration mode.
Step 3
ip arp inspection vlan vlan-range
Enable dynamic ARP inspection on a per-VLAN basis. By 
default, dynamic ARP inspection is disabled on all VLANs.
For vlan-range, specify a single VLAN identified by VLAN ID 
number, a range of VLANs separated by a hyphen, or a series of 
VLANs separated by a comma. The range is 1 to 4094.
Specify the same VLAN ID for both switches.