Arp-spoofing prevention запрещает связку ip+mac шлюза (то есть ип и мак, которые указаны в arp_spoofing_prevention) на тех портах которые указаны в arp_spoofing_prevention. Соответственно если появиться только мак шлюза, то коммутатор его пропустить дальше. Так что с arp spoofing prevention еще необходимо использовать acl который блокирует мак адрес шлюза на абонентских портах и acl должен быть первым, так как обработка по правилам идет до первого совпадения.
Мы как тоже наступили на эти же грабли

ARP Spoofing Prevention предотвратит возможность клиенту использовать IP шлюза, от подмены MAC-адреса данный функционал не защищает.

И нафига этот ACL нужен? Проще статически MAC-адрес шлюза добавить на Uplink'овские порты или использовать auto_fdb с IP-адресом шлюза.

так это и был злодей спуфер, дальше уже либо организационно, либо пусть себя блочит )

Вопрос о работе механизма ARP Spoofing Prevention.
Есть коммутатор DES-3200-26
Boot PROM Version : Build 1.00.B004
Firmware Version : Build 1.70.B007

Вот арп таблица:
DES-3200-26:5#show arpentry
Command: show arpentry

ARP Aging Time : 20

Interface IP Address MAC Address Type
------------- --------------- ----------------- ---------------
System 10.10.10.0 FF-FF-FF-FF-FF-FF Local/Broadcast
System 10.10.10.1 F0-7D-68-35-18-30 Local
System 10.10.10.254 00-29-CB-D1-03-62 Dynamic
System 10.10.10.255 FF-FF-FF-FF-FF-FF Local/Broadcast

Total Entries : 4

uplink 26 порт(F)

Для того чтобы работал ARP Spoofing Prevention мне нужно прописать следущее:
config arp_spoofing_prevention add gateway_ip 10.10.10.254 gateway_mac 00-29-CB-D1-03-62 ports 1-24

Где 1-24 клиенты, в 25 может быть другое оборудование. Я правильно понимаю что этой командой я запрещаю использование IP шлюза 10.10.10.254 с мак адресом 00-29-CB-D1-03-62 на портах с 1 по 24 ? и если кто то захочет присвоить себе этот ип с маком - что сделает коммутатор и будет ли запись в логе? IMPB с PS не используется.

ARP Spoofing Prevention защищает по сути от подмены IP-адреса, функционал прописывается на клиентских портах.

А зачем тогда в синтаксисе указывается мак адрес?

_________________
D-Link User: DGS-3120-24, DGS-3324SR, DGS-3627G, DGS-3612G, DGS-3312SR, DGS-3100-24TG, DGS-3200-10, DES-3200-26, DES-3200-28, DES-3200-18, DES-3528, DES-3526, DES-3028, DES-1228, DES-2108, DES-2110, DES-3326SR, DMC-920, DMC-810.

Чтобы указать, что для данного IP-адреса у устройства должен быть указанный MAC-адрес.
Устройства с таким же IP, но другим MAC-адресом будут блокироваться.

А с такими-же IP и MAC адресами не будут блокироваться?

Нет