怎樣防止同網段的ARP攻擊辦法

　【原理基礎】

　　1、什麼是ARP

　　ARP（Address Resolution Protocol，地址解析協議）是一個位於TCP/IP協議棧中的底層協議，對應於數據鏈路層，負責將某個IP地址解析成對應的MAC地址。其基本功能就是通過目標設備的IP地址，查詢目標設備的MAC地址，以保證通信的進行。

　　從IP地址到物理地址的映射有兩種方式：表格方式和非表格方式。ARP具體說來就是將網絡層（IP層，也就是相當於OSI的第三層）地址解析為數據連接層（MAC層，也就是相當於OSI的第二層）的MAC地址。

　　2、什麼是ARP欺騙

　　我們假設有兩台主機A、B，那麼，在局域網中，黑客經過收到ARP Request廣播包，能夠偷聽到其它節點的 (IP, MAC) 地址, 黑客就偽裝為主機A，然後告訴主機B (我們假設主機B為受害者) 一個假地址，使得B在發送給A 的數據包都被黑客截取，而主機A和主機B渾然不知的一種現象。

　　目前，很多黑客都會利用ARP欺騙，但我們無法杜絕，因為我們現階段無法組織ARP欺騙，但是，我們可以將它的欺騙程度無限的降低

　　3、ARP的攻擊原理

　　我們已經知道，ARP攻擊就是通過偽造IP地址和MAC地址實現ARP欺騙，能夠在網絡中產生大量的ARP通信量使網絡產生阻塞現象，攻擊者只要持續不斷的發出偽造的ARP響應包就能更改目標主機ARP緩存中的IP-MAC條目，造成網絡中斷或中間人攻擊。

　　ARP攻擊主要是存在於局域網網絡中，局域網中若有一台計算機感染ARP木馬，則感染該ARP木馬的系統將會試圖通過“ARP欺騙”手段截獲所在網絡內其它計算機的通信信息，並因此造成網內其它計算機的通信故障。值得一提的是，ARP在攻擊時會首先訪問本地的ARP緩存，而且，這個緩存還是動態的

　　【實用案例】

　　我們以配置交換設備H3C為例，來介紹典型的防止同網段的方法：

　　1、阻止仿冒網關IP的ARP攻擊

　　1）二層交換機防ARP攻擊

　　說明：

　　3552P是三層設備

　　網關：100.1.1.1

　　3552P上的網關mac地址為000f-e200-3999

　　現在PC-B裝有arp攻擊軟件。現在需要對3026_A進行一些特殊配置，目的是過濾掉仿冒網關IP的arp報文。對於二層交換機如3026c等，可以配置acl；全局配置deny　所有源IP是網關的arp報文(自定義規則)：

　　ACL　num　5000

　　rule　0　deny　0806　ffff　24　64010101　ffffffff　40

　　rule　1　permit　0806　ffff　24　000fe2003999　ffffffffffff　34

　　注：rule0目的：把整個3026C_A端口冒充網關的ARP報文禁掉，64010101是網關ip地址的16進制表示形式：100.1.1.1=64010101。

　　rule1目的：把上行口的網關ARP報文允許通過，藍色部分為網關3552的mac地址000f-e200-3999。

　　在S3026C-A系統視圖下發acl規則：

　　[S3026C-A]packet-filter　user-group　5000

　　這樣只有3026C_A上連設備能夠下發網關的ARP報文，其它pc就不能發送假冒網關的arp響應報文。

　　2）三層交換機防攻擊配置舉例

　　對於三層設備，需要配置過濾源IP是網關的arp報文的acl規則，配置如下acl規則：

　　ACL　num　5000

　　rule　0　deny　0806　ffff　24　64010105　ffffffff　40

　　注：rule0目的：把所有3526E端口冒充網關的ARP報文禁掉，64010105是網關ip地址的16進制表示形式：100.1.1.5=64010105。

　　2、仿冒他人IP的arp攻擊

　　作為網關的設備有可能會出現arp錯誤表項，在網關設備上還需對仿冒他人IP的arp攻擊報文進行過濾。當PC-B發送PC-D的arp的reply攻擊報文，源mac是PC-B的mac　(000d-88f8-09fa)，源ip是PC-D的ip(100.1.1.3)，目的ip和mac是網關(3552P)的，這樣3552上就會學錯arp，如下：

　　---------------------　錯誤　arp　表項　--------------------------------

　　IP　Address　MAC　Address　VLAN　ID　Port　Name　Aging　Type

　　100.1.1.4　000d-88f8-09fa　1　Ethernet0/2　20　Dynamic

　　100.1.1.3　000f-3d81-45b4　1　Ethernet0/2　20　Dynamic

　　PC-D的arp表項應該學習到端口e0/8上，而不應該學習到e0/2端口上。

　　在3552上配置靜態arp，可以防止：

　　arp　static　100.1.1.3　000f-3d81-45b4　1　e0/8