全 IP 承載 (All Over IP) 是大勢所趨，帶來標準化、高帶寬、資源共享的同時，也引入了服務質量 (QoS) 不確定性與安全攻擊面暴露。本文按 OSI 七層模型，聚焦數據鏈路層 (L2) 與網絡層 (L3) 典型攻擊與防護。
一、數據鏈路層 (L2) 攻擊
1. ARP 欺騙 / ARP 投毒
- 原理：ARP 協議無認證機制，攻擊者發送偽造 ARP 回應（將攻擊者 MAC 綁定網關 IP，或網關 MAC 綁定受害者 IP），實現中間人 (MitM)：流量重定向 → 嗅探/竊取/篡改/注入。
- 工具：Cain & Abel、Ettercap、Bettercap、NetCut、網絡執法官。
- 防護：
① 靜態 ARP 綁定：核心設備/服務器 `arp -s` 綁定網關 MAC；批量下發腳本。
② 動態 ARP 檢測 (DAI)：交換機啟用 DAI，驗證 ARP 報文合法性（IP-MAC-Port 綁定表）。
③ 端口安全/Port Security：限制每端口學習 MAC 數量、違規動作 (Shutdown/Restrict/Protect)。
④ DHCP Snooping + IP Source Guard：構建合法 IP-MAC-Port 綁定庫，非法 ARP 直接丟棄。
⑤ 主機端防 ARP：Windows `netsh interface ipv4 set neighbors "介面" 閘道IP 閘道MAC` 持久化；第三方防 ARP 軟體 (AntiARP、360 ARP 防火牆)。
2. MAC 地址泛洪 (MAC Flooding)
- 原理：交換機 MAC 地址表容量有限 (典型 8K-128K)。攻擊者高速發送偽造源 MAC 幀，填滿 MAC 表 → 交換機退化為 Hub 廣播模式 → 所有端口收到所有流量 → 嗅探/DoS。
- 工具：Dsniff (macof) 1 分鐘生成 15 萬偽造 MAC。
- 防護：
① 端口安全：限制動態 MAC 學習數量 (如 `switchport port-security maximum 2`)。
② MAC 地址表老化時間優化。
③ VLAN 劃分：限制廣播域範圍。
④ 交換機 CPU 保護 (CoPP/CPPr)：限制控制平面處理速率。
二、網絡層 (L3) 攻擊
1. 路由協議攻擊
BGP 攻擊
- BGP 基於 TCP 179，繼承 TCP 漏洞：TCP SYN Flood、序列號預測、RST 注入、BGP 劫持 (宣告不屬於自己的前綴)。
- 防護：
• BGP TTL Security (GTSM)：設置 TTL=255，僅接受直連鄰居。
• BGP MD5 認證 (RFC 2385) / TCP-AO (RFC 5925)。
• RPKI/ROA：源地址驗證，防前綴劫持。
• 前綴過濾/最大前綴數限制。
• ACL 保護 TCP 179：僅允許已知鄰居 IP。
OSPF 攻擊
- MaxAge 攻擊：持續發送 MaxAge=3600s 的 LSA，強制網絡刷新、路由震盪、DoS。
- 序列號攻擊：注入超大序列號 LSA，導致合法路由器不斷生成更大序列號競爭，網絡不穩定。
- 防護：
• OSPF 認證：Area 級/接口級 MD5/SHA/HMAC-SHA (RFC 5709)。
• 被動接口：非鏈路接口 `passive-interface default`。
• LSA 發送速率限制 (pacing)。
• 區域劃分/Stub/NSSA 限制故障傳播範圍。
2. ICMP 攻擊
- Ping of Death：超大 ICMP 封包 (IP 分片重組溢出) —— 現代 OS 已修補。
- Smurf Attack：偽造受害者源 IP 廣播 Ping，放大回包淹沒受害者 —— 禁用定向廣播 (`no ip directed-broadcast`)。
- ICMP Flood/重定向攻擊：限制 ICMP 速率、禁用 ICMP 重定向接收/發送。
3. IP 分片攻擊
- Teardrop：偽造 Offset 重疊分片導致重組崩潰 —— 現代內核已修補。
- 分片繞過防火牆/IDS：惡意負載分片跨包，單包無特徵。防護：防火牆/IDS 必須重組後檢測 (Stateful Inspection/Reassembly)。
三、綜合防護架構建議
- L2 安全基線：全網部署 DAI + IP Source Guard + Port Security + DHCP Snooping + 靜態 ARP 綁定核心設備。
- 路由平面加固：BGP/OSPF/IS-IS 全面啟用認證 + TTL Security + RPKI/ROA + 前綴過濾 + ACL 保護控制平面。
- 邊界/核心 DDoS 清洗：接入運營商/雲清洗，本地備用 RTBH (Remotely Triggered Black Hole) / FlowSpec。
- 流量可視與行為分析：NetFlow/sFlow/IPFIX 采集 → NTA/NDR 平台 → 基線學習 → 異常告警 (掃描、洪水、掃描、C2)。
- 主機加固：內核參數優化、防火牆微隔離、EDR、應用白名單、補丁管理。
- 應急預案與演練：路由劫持、ARP 投毒、DDoS、零日漏洞利用場景桌面推演/實戰演練。
IP 網絡安全是系統工程，協議缺陷無法根治，但通過協議加固、平面防護、可視分析、持續演練，可將風險控制在業務可接受範圍內。