Wat is DAI?
DAI (Dynamic ARP Inspection) is een beveiligingsfunctie van managed switches die elk ARP-bericht op een niet-vertrouwde poort toetst aan bekende IP-MAC-koppelingen en vervalste berichten weggooit, zodat een aanvaller via ARP Spoofing geen verkeer kan omleiden of onderscheppen. De functie draait op laag 2 en stopt een Man-In-The-Middle-aanval al aan de switchpoort. Deze pagina gaat over de praktijk: welke instellingen ertoe doen, hoe u DAI zonder productieverlies uitrolt en hoe u het daarna bewaakt. De werking in detail staat in het artikel Dynamic ARP Inspection.
In OT-netwerken beschermt DAI bijvoorbeeld PLC-verkeer tegen een rogue device of een ongeautoriseerde laptop die zich voordoet als HMI of besturing.
🧠 Wat doet DAI precies op een switch?
DAI wordt per VLAN aangezet. Vanaf dat moment stuurt de switch ARP-pakketten die binnenkomen op een untrusted poort naar zijn CPU en voert vier stappen uit:
- Afzender opzoeken - het IP- en MAC-adres uit het ARP-bericht worden opgezocht in een ARP-toegangslijst (ARP-ACL) en in de bindingstabel van DHCP Snooping.
- ACL eerst - een ARP-ACL heeft voorrang: wordt een pakket door de ACL geweigerd, dan helpt een geldige DHCP-binding niet meer.
- Doorsturen of weggooien - klopt de koppeling, dan gaat het pakket door; klopt die niet, dan wordt het weggegooid en gelogd.
- Snelheid bewaken - komen er meer ARP-pakketten per seconde binnen dan de ingestelde limiet, dan schakelt de switch de poort uit (err-disable).
DAI controleert alleen inkomend verkeer en alleen op switches waar de functie aanstaat. Apparaten op een switch zonder DAI, of twee apparaten achter dezelfde onbeheerde switch, zijn dus niet beschermd. Sluit een operator een eigen switch aan op een untrusted poort, dan houdt DAI vervalste ARP-berichten die via die poort binnenkomen wel tegen, maar ARP-verkeer tussen de apparaten achter die eigen switch niet. Trusted poorten, meestal uplinks naar andere switches met DAI, worden overgeslagen.
🔧 Welke instellingen bepalen hoe DAI zich gedraagt?
De commando’s verschillen per fabrikant, maar de bouwstenen zijn overal vergelijkbaar. De tabel gebruikt de Cisco IOS-syntax als voorbeeld, met de standaardwaarden van Catalyst-switches.
| Instelling | Cisco-commando (voorbeeld) | Standaard | Waarom het in OT telt |
|---|---|---|---|
| DAI per VLAN | ip arp inspection vlan 10 |
Uit op alle VLAN’s | Per productiecel of zone gefaseerd aanzetten |
| Poortstatus | ip arp inspection trust |
Alle poorten untrusted | Alleen uplinks naar switches met DAI trusted maken |
| Rate limit | ip arp inspection limit rate 30 |
15 pakketten/s, burst 1 s | Te krap zet een PLC-poort in err-disable |
| Extra validatie | ip arp inspection validate src-mac dst-mac ip |
Geen | Vangt ARP-berichten met tegenstrijdige adressen af |
| Statische koppelingen | arp access-list + ip arp inspection filter ... vlan 10 static |
Geen ACL | Nodig voor apparaten met een vast IP-adres |
| Automatisch herstel | errdisable recovery cause arp-inspection |
Uit (interval 300 s) | Kies bewust tussen zelfherstel en handmatig ingrijpen |
| Logbuffer | ip arp inspection log-buffer |
32 regels, 5 meldingen/s | Doorsturen naar centrale logging |
Het sleutelwoord static betekent dat alleen de ACL telt en de switch niet terugvalt op
DHCP-bindings. Dat is de gebruikelijke keuze in een cel waar alle besturingen een vast adres hebben. De
rate limit is instelbaar tot 2.048 pakketten per seconde; voor trunks met veel VLAN’s is een hogere limiet
of limit none gangbaar.
🏭 Hoe rolt u DAI stapsgewijs uit in een productienetwerk?
In een kantoornetwerk is DAI vaak een kwestie van aanzetten. In een OT-netwerk kan een verkeerde instelling een productielijn stilleggen, dus werkt u in fasen:
- Inventariseer de adressering - leg per VLAN alle IP-MAC-koppelingen vast vanuit uw asset-inventaris en controleer die met een passieve opname in Wireshark. Let op apparaten met meerdere netwerkkaarten en op virtuele IP-adressen van redundante servers.
- Controleer de switches - niet elke industriële switch of firmwareversie ondersteunt DAI. Waar de functie ontbreekt, blijven andere maatregelen nodig.
- Bouw de ARP-ACL’s - één regel per vast geadresseerd apparaat. Zet DHCP Snooping aan voor de VLAN’s waar wel DHCP draait en bewaar de bindingstabel persistent.
- Meet het normale ARP-volume - kijk vooral naar opstartpieken van PLC’s en HMI’s en naar trunks, en stel de rate limit ruim boven het gemeten maximum in.
- Test in een testomgeving of onderhoudsvenster - activeer DAI eerst op één VLAN, controleer de tellers en laat de cel een volledige opstart doorlopen.
- Breid uit per zone - neem daarna de volgende cel mee en leg elke stap vast in uw wijzigingsbeheer.
Elke vervangen netwerkkaart of PLC betekent daarna een nieuw MAC-adres en dus een aangepaste ACL. Neem die stap op in de werkinstructie voor storingsvervanging, anders blokkeert DAI het nieuwe apparaat precies op het moment dat de installatie weer moet draaien.
📊 Hoe controleert en bewaakt u DAI na de uitrol?
DAI levert alleen waarde als iemand de meldingen ziet. Stuur logregels via Syslog naar uw SIEM of netwerkmonitoring en log geweigerde pakketten, niet alle toegestane: dat geeft al snel honderden regels per seconde.
| Signaal | Mogelijke oorzaak | Actie |
|---|---|---|
| Drops door DHCP-binding | Apparaat met vast IP zonder ACL-regel, of verlopen DHCP-lease | ACL aanvullen of DHCP-server controleren |
| Drops door ARP-ACL | Vervangen apparaat met nieuw MAC-adres, of een spoofingpoging | Wijziging verifiëren voordat u de ACL aanpast |
| Poort in err-disable | ARP-piek boven de rate limit of een ARP-flood | Verkeer analyseren, limiet bijstellen, poort herstellen |
| Drops na switchherstart | Bindingstabel niet persistent opgeslagen | Database van DHCP Snooping opslaan in flash of op een server |
| Geen enkele drop, ooit | DAI staat niet aan op het juiste VLAN of poorten zijn ten onrechte trusted | Poortstatus en VLAN-instelling nalopen |
Op Cisco-switches tonen show ip arp inspection statistics en show ip arp inspection
interfaces de tellers en de poortstatus, en show ip dhcp snooping binding de
bindingstabel. Een plotselinge reeks drops op een poort in een zone met besturingen verdient dezelfde
aandacht als een melding van een IDS of NDR-sensor.
🔄 Hoe verschilt DAI tussen leveranciers?
Het principe is gelijk, maar de standaardinstellingen niet. Wie switches van meerdere merken in één netwerk heeft, moet die verschillen kennen.
| Aspect | Cisco Catalyst | Juniper EX |
|---|---|---|
| Inschakelen | Per VLAN | Per VLAN |
| Trunkpoorten | Untrusted, tenzij u ze trusted maakt | Standaard trusted, ARP gaat er ongecontroleerd langs |
| Relatie met DHCP-trust | Aparte instelling voor ARP-trust | Een DHCP-trusted poort is ook ARP-trusted |
| Statische apparaten | ARP-ACL, eventueel met static |
Statische vermeldingen in de snooping-database |
| Rate limit | 15 pakketten/s per untrusted poort, daarna err-disable | ARP naar de routing engine wordt begrensd |
Juniper inspecteert bovendien geen ARP-probes, de berichten waarmee een apparaat controleert of een adres al in gebruik is. Andere fabrikanten, ook van industriële switches, gebruiken soms andere namen voor dezelfde functie. Controleer daarom per type en firmwareversie de handleiding.
🔐 Hoe past DAI in IEC 62443 en de Cyberbeveiligingswet?
IEC 62443 noemt DAI niet bij naam, maar de functie draagt bij aan systeemeisen uit IEC 62443-3-3, vooral SR 3.1 (integriteit van communicatie) binnen een zone. Netwerksegmentatie (SR 5.1) en firewalls regelen het verkeer tussen zones; DAI beschermt het verkeer binnen een zone, waar een firewall niets ziet.
Voor organisaties onder NIS2 geldt sinds 15 augustus 2026 de Cyberbeveiligingswet met een zorgplicht voor passende technische maatregelen. DAI is daarin geen verplichting op zich, maar wel een goedkope en controleerbare maatregel die u in een audit kunt aantonen met configuratie en logregels. Samen met IP Source Guard, Port Security en 802.1X vormt het een laag in een gelaagde verdediging.
❓ Veelgestelde vragen
Waar staat de afkorting DAI voor?
DAI staat voor Dynamic ARP Inspection, een functie van managed switches die ARP-berichten controleert op vervalste IP-MAC-koppelingen. DAI voorkomt daarmee ARP-poisoning en man-in-the-middle-aanvallen op laag 2. De functie is beschikbaar op veel managed switches voor IT en OT.
Heeft DAI invloed op de prestaties van het netwerk?
DAI controleert alleen ARP-verkeer, dus gewone procesdata zoals Modbus TCP gaat zonder extra vertraging door. Wel verwerkt de switch-CPU alle ARP-pakketten op untrusted poorten, daarom bestaat de rate limit. Bij normaal ARP-volume merkt u in de praktijk niets van DAI.
Wat gebeurt er als een PLC wordt vervangen terwijl DAI aanstaat?
Een nieuwe PLC heeft meestal een ander MAC-adres, waardoor DAI zijn ARP-berichten weigert als de ARP-ACL nog het oude adres bevat. De PLC is dan onbereikbaar voor HMI en SCADA. Neem het bijwerken van de DAI-configuratie daarom op in de procedure voor storingsvervanging.
Moet DAI ook aan op uplinks tussen switches?
Uplinks tussen switches waarop DAI draait, worden meestal als trusted ingesteld, zodat elk ARP-pakket één keer aan de rand wordt gecontroleerd. Een uplink naar een switch zonder DAI houdt u beter untrusted, met een ruime rate limit. Anders kan een aanvaller op die switch ongecontroleerd ARP-berichten het netwerk in sturen.
Kan DAI ARP-aanvallen detecteren zonder ze te blokkeren?
Dat hangt af van de switch, maar bij veel implementaties, zoals op Cisco Catalyst, wordt een ARP-bericht dat niet klopt direct weggegooid. Een veilige manier om te beginnen is DAI eerst op een test-VLAN of in een onderhoudsvenster aan te zetten en de tellers en logregels te bekijken. Voor pure detectie zonder ingreep is een passieve monitoringoplossing geschikter.
Is DAI zinvol als het OT-netwerk al gesegmenteerd is?
Ja, DAI blijft zinvol, omdat segmentatie het verkeer tussen zones regelt en niet binnen een zone. ARP-spoofing speelt zich juist af binnen één VLAN, tussen bijvoorbeeld een PLC, HMI en Historian. DAI en segmentatie vullen elkaar dus aan.
📌 Samengevat
DAI laat een managed switch ARP-berichten op untrusted poorten toetsen aan DHCP Snooping-bindings of ARP-ACL’s en vervalste berichten weggooien. In OT vraagt dat een zorgvuldige uitrol: vaste adressen inventariseren, ACL’s opbouwen, de rate limit afstemmen op gemeten verkeer en per zone uitbreiden. Daarna maken logging, monitoring en wijzigingsbeheer het verschil tussen een werkende beveiliging en een onverwachte storing.
DAI stopt ARP-spoofing aan de switchpoort en beschermt OT-communicatie binnen een zone, mits u statische koppelingen, limieten en logging net zo zorgvuldig beheert als de besturing zelf.