一、ARP Check概述
1. ARP Check背景
网络中存在ARP欺骗的攻击行为，会导致网络异常。如果部署了DHCP服务器，需要通过DHCP Snooping和IP Source Guard给你拿来实现接入安全的需求。如果没有部署DHCP服务器，那么就需要使用端口安全和全局地址绑定的方式来实现园区网的接入。IP Source Guard、端口安全和全局地址绑定所产生的源数据表项，可以作为合法用户信息表来源，为ARP Check提供数据包过滤的依据。
2. 二层转发下ARP工作的基本原理
三台PC分别连接接入交换机的G0/1、G0/2、G0/3口，核心交换机承载网关功能，三台PC和网关的IP/MAC地址如图所示，以下为PC1和PC2通信过程中ARP交互流程：
- PC1本地ARP缓存表没有任何记录，发送ARP广播，请求B的MAC地址，请求包
- Sender MAC：5000.0001.0001，Target MAC：5000.0002.0002
- Sender IP：192.168.1.1，Target IP：192.168.1.2
- 接入交换机将此广播包中的源MAC和入接口信息记录到交换机MAC地址表中，同时广播到其它接口
- PC2接收到广播后，发现Target IP是自身，则将PC1的信息记录到本地ARP缓存表中，同时对该请求包单播回应
- Sender MAC：5000.0002.
