Dynamic ARP Inspection (DAI) è una funzione di sicurezza Layer 2 che aiuta a bloccare pacchetti ARP non coerenti con le associazioni IP/MAC considerate valide dallo switch. Il caso d’uso principale è la mitigazione dell’ARP spoofing o ARP cache poisoning all’interno dello stesso dominio di broadcast.

DAI non sostituisce firewall, IDS/IPS o segmentazione. È un controllo di First Hop Security che protegge un punto preciso della rete: il rapporto tra host, porta di accesso, indirizzo IP e MAC. Per una progettazione più ampia, il riferimento corretto resta la Network Security aziendale.

Perché ARP spoofing è pericoloso

ARP non autentica in modo nativo chi dichiara una determinata associazione IP/MAC. In una LAN non protetta, un host può tentare di inviare risposte ARP false e indurre altri dispositivi ad aggiornare la cache con informazioni errate. Il risultato può facilitare man-in-the-middle, dirottamento del traffico o interruzioni di connettività.

Come funziona DAI

Su switch Cisco, DAI valida i pacchetti ARP ricevuti su porte non trusted confrontandoli con il DHCP Snooping binding database. Il database viene popolato da DHCP Snooping e contiene associazioni tra MAC address, IP, VLAN e interfaccia. I pacchetti ricevuti su porte trusted bypassano invece i controlli DAI.

DHCP Snooping e DAI: perché lavorano insieme

DHCP Snooping distingue porte trusted e untrusted per il traffico DHCP e costruisce il binding database che DAI utilizza come fonte di verità per gli host con indirizzo dinamico. Senza un binding valido, un pacchetto ARP proveniente da una porta non trusted può essere scartato.

• Abilita DHCP Snooping solo sulle VLAN previste.
• Definisci correttamente gli uplink/server DHCP trusted.
• Verifica che il binding database venga popolato prima di attivare DAI in enforcement.
• Documenta eccezioni per telefoni IP, hypervisor, appliance, stampanti e host statici.

Host con IP statico: non basta DHCP Snooping

In ambienti con host statici, DAI può richiedere ARP ACL o binding espliciti, a seconda della piattaforma. Cisco documenta l’uso di ARP ACL per ambienti non-DHCP. Ignorare questa parte può produrre falsi blocchi su server, appliance o dispositivi industriali.

Trusted e untrusted port

Rate limiting e rischio errdisable

DAI può applicare limiti al numero di pacchetti ARP sulle porte non trusted. Su Cisco Catalyst il default documentato è 15 pacchetti al secondo per porte untrusted; superare il limite può portare la porta in error-disabled. Il valore non va copiato meccanicamente: va valutato in base a ruolo della porta, telefoni, access point, hypervisor e picchi legittimi.

DAI in ambienti industriali e OT

In OT la stabilità viene prima dell’attivazione indiscriminata di controlli. DAI può essere utile contro spoofing Layer 2, ma deve essere testato con dispositivi statici, protocolli legacy e topologie ridondate. La IEC 62443 può orientare segmentazione, zone/conduit e hardening, ma non va presentata come prescrizione specifica che obbliga DAI.

Rollout consigliato

1. Mappa VLAN, uplink, DHCP server e dispositivi con IP statici.
2. Abilita e valida DHCP Snooping su una VLAN pilota.
3. Controlla binding e log prima dell’enforcement DAI.
4. Definisci trust state e ARP ACL solo dove necessario.
5. Attiva DAI su una VLAN a basso rischio.
6. Monitora drop, rate limit e anomalie.
7. Estendi progressivamente e conserva rollback documentato.

Come verificare che DAI stia funzionando

La verifica deve includere stato per VLAN, binding DHCP, contatori di permit/drop, log DAI e test di connettività degli host statici. L’obiettivo non è vedere “zero drop”, ma distinguere pacchetti malevoli o incoerenti da eccezioni legittime.

DAI non sostituisce gli altri controlli

Per ridurre il rischio di attacchi di rete servono anche segmentazione, hardening switch, 802.1X/NAC dove appropriato, logging, patching e controlli di sicurezza a livelli superiori. Per intrusion detection/prevention il contenuto corretto è la guida Nexsys su Intrusion Prevention System (IPS).