Hướng Dẫn Cấu Hình Dynamic ARP Inspection (DAI) Trên Switch Cisco Catalyst 1300

26/12/2025

Dynamic ARP Inspection (DAI) là một trong những tính năng bảo mật quan trọng nhất trên Switch Cisco, giúp bảo vệ hệ thống mạng khỏi các cuộc tấn công Man-in-the-Middle (MITM) và ARP Spoofing. Trong bài viết này, sẽ hướng dẫn bạn từng bước cách thiết lập ARP Inspection trên dòng Switch Cisco Catalyst 1300 thông qua giao diện Web (GUI) trực quan.

ARP Inspection hoạt động dựa trên nguyên tắc phân loại cổng:

Cổng tin cậy (Trusted): Thường là cổng nối lên Router hoặc Switch Core. Gói tin ARP qua đây sẽ được chấp nhận.
Cổng không tin cậy (Untrusted): Thường là cổng nối xuống máy tính người dùng. Gói tin ARP tại đây sẽ bị Switch kiểm tra đối chiếu với cơ sở dữ liệu (DHCP Snooping Binding hoặc ARP ACL). Nếu không khớp, gói tin sẽ bị chặn (Drop).

Lưu ý : Để DAI hoạt động hiệu quả với các máy nhận IP động, bạn nên cấu hình DHCP Snooping trước. Bài viết này tập trung vào các bước cấu hình DAI.

I. Các bước cấu hình

Bước 1: Kích hoạt ARP Inspection toàn cục

Đầu tiên, bạn cần bật tính năng này trên toàn bộ thiết bị.

Đăng nhập vào trang quản trị Web của Switch.
Điều hướng tới: Security > ARP Inspection > Properties.
Tại dòng ARP Inspection Status, tích chọn Enable.
(Khuyên dùng) Tại mục ARP Packet Validation, chọn Enable. Tùy chọn này giúp Switch kiểm tra sâu hơn vào gói tin (ví dụ: so sánh địa chỉ MAC nguồn trong Ethernet header với địa chỉ MAC trong thân gói tin ARP) để chống giả mạo tinh vi.
Nhấn Apply để lưu.

Bước 2: Thiết lập cổng tin cậy (Trusted Interface)

Bước này rất quan trọng để đảm bảo kết nối mạng không bị gián đoạn. Bạn cần chỉ định các cổng Uplink (nối lên Router/Switch khác) là cổng Tin cậy.

Vào menu: Security > ARP Inspection > Interface Settings.
Danh sách các cổng sẽ hiện ra. Tích chọn vào cổng hoặc LAG (Link Aggregation) nối với thiết bị hạ tầng mạng.
Nhấn nút Edit (biểu tượng cây bút).
Tại mục ARP Inspection Trust:
- Chọn Trusted cho các cổng Uplink.
- Để mặc định Untrusted cho các cổng kết nối với người dùng cuối (PC, Laptop...).
Nhấn Apply.

Bước 3: Cấu hình cho thiết bị IP Tĩnh (ARP Access Control)

Nếu mạng của bạn có các thiết bị đặt IP tĩnh (Server, Máy in...) không qua DHCP, chúng sẽ bị chặn bởi DAI vì không có dữ liệu trong bảng DHCP Snooping. Bạn cần tạo "giấy thông hành" thủ công cho chúng thông qua ARP Access Control.

3.1. Tạo danh sách quản lý (ACL Name)

Vào menu: Security > ARP Inspection > ARP Access Control.
Nhấn Add.
Tại ô ARP Access Control Name, đặt tên cho danh sách (Ví dụ: Static_Devices).
Nhập IP và MAC của thiết bị tĩnh đầu tiên vào ô IP Address và MAC Address.
Nhấn Apply.

3.2. Thêm thiết bị vào danh sách

Nếu có nhiều thiết bị tĩnh, bạn tiếp tục thêm chúng vào danh sách vừa tạo:

Chuyển sang tab: Security > ARP Inspection > ARP Access Control Rules.
Sử dụng bộ lọc để chọn tên danh sách (Static_Devices) bạn vừa tạo, nhấn Go.
Nhấn Add.
Nhập cặp IP Address và MAC Address của các thiết bị tĩnh còn lại.
Nhấn Apply sau mỗi lần thêm.

Bước 4: Áp dụng cấu hình vào VLAN

Đây là bước cuối cùng để tính năng chính thức hoạt động trên mạng của bạn.

Vào menu: Security > ARP Inspection > VLAN Settings.
Chọn VLAN bạn muốn bảo vệ (ví dụ VLAN 10, VLAN 20...) từ cột bên trái và chuyển sang cột Enabled VLANs.
Quan trọng: Nếu bạn đã làm Bước 3 (cho IP tĩnh), hãy nhìn xuống phần dưới trang và nhấn Add.
- Chọn VLAN ID tương ứng.
- Tại mục ARP Access Control Name, chọn danh sách bạn đã tạo (ví dụ: Static_Devices).
Nhấn Apply.

II. Lời kết

Việc cấu hình Dynamic ARP Inspection trên Cisco Catalyst 1300 không quá phức tạp nhưng đòi hỏi sự cẩn thận, đặc biệt là việc phân loại cổng Trusted/Untrusted và khai báo các thiết bị IP tĩnh. Chúc các bạn cấu hình thành công và bảo mật hệ thống mạng an toàn.

Bạn đang cần tư vấn về sản phẩm Hướng Dẫn Cấu Hình Dynamic ARP Inspection (DAI) Trên Switch Cisco Catalyst 1300

Vui lòng để lại số điện thoại hoặc lời nhắn, nhân viên sẽ liên hệ trả lời bạn sớm nhất

Đánh giá của bạn

Điểm 5/5 trên 1 đánh giá