ダイナミックARPインスペクション (DAI)

仕組みはこうだ。DAIはDHCPスヌーピングのデータベース(どのMAC/IPがどのポートでどのアドレスを得たかの記録)を土台にする。「非信頼」ポートにARPパケットが届くと、このバインディングと照合し、一致しなければ破棄する。攻撃者がゲートウェイのIPを名乗ることはもうできない。ルーターや他のスイッチに向かう信頼ポートは検査されない。DHCPを使わない固定ホストにはARP ACLを使う。利点は、偽造ARP応答による中間者攻撃を、被害者に届く前にスイッチの段階で止められることだ。DHCPスヌーピング、ポートセキュリティ、BPDUガードと並ぶ「レイヤ2堅牢化」の一式をなし、きちんと構成されたアクセススイッチでは標準装備である。ARPスプーフィングやDHCPスヌーピングと関係が深い。