JunOS and other, snooping, arp inspection

[Megas]

Столкнулся с нетривиальной задачкой, есть сеть которая носит статические внешние адреса, их много это слабо сказанно, но вот один удачливый показал что сеть нестабильна и успешно в течении длительного времени проводил arp spoofing.

Для pxe у нас выдаются серые адреса, клиенты их получают, а работать не могут (при загрузке pxe меню, вместо мак адреса pxe сервера, подставлен mac атакующего), включение snooping + arp inspection ведет к тому что перестанут работать адреса со статикой, забивать все адреса статикой на коммутаторе тоже не сильно удачная идея, как можно еще бороться с arp snooping?

Edited September 1, 2015 by Megas

[-Pave1-]

Как понимаю речь о энтерпрайзе и юзер-сегменте))

Отказаться от статики. Заменить на DHCP резервациями. Там где в этом есть реальная необходимость.

Либо vlan per user + ip unnumbered.

Edited September 1, 2015 by -Pave1-

[martini]

влан на юзера и аннамберед

[Megas]

К сожалению на unnumbered и vlan per user просто не возможно перейти, это хостинг.

[-Pave1-]

В принципе можно еще про private vlan подумать.

[dmvy]

ACL: запретить на портах пакеты с src ip шлюза. в том числе и DHCP-ответы. Не помешает сделать изоляцию портов.