Dynamic ARP Inspection (DAI)
Una función de seguridad del switch que inspecciona los paquetes ARP y descarta los que no coinciden con una vinculación IP-MAC conocida y legítima. La defensa principal contra el ARP spoofing en una red empresarial.
Mecánica: DAI se apoya en la base de datos de DHCP snooping (que registra qué MAC/IP obtuvo qué dirección en qué puerto). Cuando llega un paquete ARP por un puerto "no confiable" se comprueba contra las vinculaciones; si no coincide, se descarta → un atacante ya no puede hacerse pasar por la IP de la puerta de enlace. Los puertos de confianza (hacia routers u otros switches) se omiten. Para hosts estáticos sin DHCP se usan ACL de ARP. La ganancia: detiene el man-in-the-middle mediante respuestas ARP falsificadas a nivel de switch, antes incluso de que llegue a las víctimas. Forma parte de un conjunto de "endurecimiento de capa 2" junto con DHCP snooping, port security y BPDU guard. Estándar en switches de acceso bien configurados.