二層攻擊（MAC/CAM 洪泛、DHCP 偽造、ARP 欺騙/中間人）隱蔽且破壞力強。Cisco 基於四大核心技術提供成熟解決方案：

• Port Security（端口安全）
• DHCP Snooping（DHCP 嗅探）
• Dynamic ARP Inspection - DAI（動態 ARP 檢測）
• IP Source Guard（IP 源防護）

1. MAC/CAM 攻擊防範

原理： 攻擊者偽造大量 MAC 填滿 CAM 表，迫使交換機泛洪轉發，實現嗅探。
對策： Port Security 限制端口最大 MAC 數、指定允許 MAC（靜態/動態/Sticky），違規動作推薦 Restrict（丟包+告警不影響轉發）。

Cat4507(config)#int fa3/48
Cat4507(config-if)#switchport port-security
Cat4507(config-if)#switchport port-security maximum 2
Cat4507(config-if)#switchport port-security violation restrict
Cat4507(config)#errdisable recovery cause psecure-violation
Cat4507(config)#errdisable recovery interval 30

Sticky 模式下學習的 MAC 寫入配置，重啟不丟失。

2. DHCP 攻擊防範

風險： 偽造 DHCP 服務器耗盡地址池、分發惡意 DNS/網關、竊取賬號密碼。
DHCP Snooping： 劃分信任/非信任端口，僅允許信任端口發送 DHCP 回應；建立綁定表（MAC、IP、租期、VLAN、接口），供 DAI/IP Source Guard 使用。
高級： 校驗 DHCP 請求中 CHADDR 與源 MAC 一致性，防 CHADDR 偽造 DoS。

3. ARP 欺騙 / MITM 防範

原理： 利用 ARP 無驗證特性，偽造網關/目標 ARP 回應實施中間人。
DAI 部署： 非信任端口開啟 DAI，交換機根據 DHCP Snooping 綁定表驗證 ARP 報文的 IP-MAC 一致性，非法丟棄並記錄日誌。
IP Source Guard： 結合綁定表，僅允許符合 IP-MAC-VLAN-端口映射的數據包通過，防 IP 欺騙。

綜合效益

上述技術組合不僅阻斷二層攻擊，還能簡化地址管理、直接追蹤用戶 IP-端口映射、防止 IP 沖突、有效隔離掃描/欺騙類病毒。建議在接入層全面部署 Port Security + DHCP Snooping + DAI + IP Source Guard，核心層啟用 DAI 審計，構建零信任二層網絡。