Dynamic ARP Inspection (DAI)
Une fonction de sécurité des commutateurs qui inspecte les paquets ARP et rejette ceux qui ne correspondent à aucune association IP-MAC légitime connue. La défense de référence contre l'usurpation ARP dans un réseau d'entreprise.
Principe : le DAI s'appuie sur la base de données du DHCP snooping (qui consigne quelle adresse MAC/IP a reçu quelle adresse sur quel port). Quand un paquet ARP arrive sur un port « non fiable », il est confronté à ces associations ; s'il ne correspond pas, il est rejeté → un attaquant ne peut plus se faire passer pour l'IP de la passerelle. Les ports de confiance (vers les routeurs ou d'autres commutateurs) sont ignorés. Pour les hôtes statiques sans DHCP, on recourt à des ACL ARP. Bénéfice : on bloque l'attaque de l'homme du milieu par fausses réponses ARP dès le commutateur, avant même qu'elles atteignent les victimes. Fait partie d'un ensemble de « durcissement de la couche 2 » avec le DHCP snooping, la sécurité des ports et BPDU guard. Standard sur les commutateurs d'accès bien configurés. Voir aussi l'usurpation ARP et le DHCP snooping.