如何防止同网段的ARP攻击办法 -pc6资讯

您的位置：首页 → 网络冲浪 → 网络技术 → 如何防止同网段的ARP攻击办法

如何防止同网段的ARP攻击办法 时间：2011/2/1 21:54:22来源：本站原创作者：清晨我要评论(0)

怎么防止arp攻击呢，先还是和你一起认识一下什么是arp

1、什么是ARP

　　ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的底层协议，对应于数据链路层，负责将某个IP地址解析成对应的MAC地址。其基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的进行。

　　从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC层，也就是相当于OSI的第二层）的MAC地址。

　　2、什么是ARP欺骗

　　我们假设有两台主机A、B，那么，在局域网中，黑客经过收到ARP Request广播包，能够偷听到其它节点的 (IP, MAC) 地址, 黑客就伪装为主机A，然后告诉主机B (我们假设主机B为受害者) 一个假地址，使得B在发送给A 的数据包都被黑客截取，而主机A和主机B浑然不知的一种现象。

　　目前，很多黑客都会利用ARP欺骗，但我们无法杜绝，因为我们现阶段无法组织ARP欺骗，但是，我们可以将它的欺骗程度无限的降低

　　3、ARP的攻击原理

　　我们已经知道，ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络产生阻塞现象，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。

　　ARP攻击主要是存在于局域网网络中，局域网中若有一台计算机感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。值得一提的是，ARP在攻击时会首先访问本地的ARP缓存，而且，这个缓存还是动态的

　　【实用案例】

　　我们以配置交换设备H3C为例，来介绍典型的防止同网段的方法：

　　1、阻止仿冒网关IP的ARP攻击

　　1）二层交换机防ARP攻击

　　说明：

　　3552P是三层设备

　　网关：100.1.1.1

　　3552P上的网关mac地址为000f-e200-3999

　　现在PC-B装有arp攻击软件。现在需要对3026_A进行一些特殊配置，目的是过滤掉仿冒网关IP的arp报文。对于二层交换机如3026c等，可以配置acl；全局配置deny　所有源IP是网关的arp报文(自定义规则)：

　　ACL　num　5000

　　rule　0　deny　0806　ffff　24　64010101　ffffffff　40

　　rule　1　permit　0806　ffff　24　000fe2003999　ffffffffffff　34

　　注：rule0目的：把整个3026C_A端口冒充网关的ARP报文禁掉，64010101是网关ip地址的16进制表示形式：100.1.1.1=64010101。

　　rule1目的：把上行口的网关ARP报文允许通过，蓝色部分为网关3552的mac地址000f-e200-3999。

　　在S3026C-A系统视图下发acl规则：

　　[S3026C-A]p2、仿冒他人IP的arp攻击

　　作为网关的设备有可能会出现arp错误表项，在网关设备上还需对仿冒他人IP的arp攻击报文进行过滤。当PC-B发送PC-D的arp的reply攻击报文，源mac是PC-B的mac　(000d-88f8-09fa)，源ip是PC-D的ip(100.1.1.3)，目的ip和mac是网关(3552P)的，这样3552上就会学错arp，如下：

　　---------------------　错误　arp　表项　--------------------------------

　　IP　Address　MAC　Address　VLAN　ID　Port　Name　Aging　Type

　　100.1.1.4　000d-88f8-09fa　1　Ethernet0/2　20　Dynamic

　　100.1.1.3　000f-3d81-45b4　1　Ethernet0/2　20　Dynamic

　　PC-D的arp表项应该学习到端口e0/8上，而不应该学习到e0/2端口上。

　　在3552上配置静态arp，可以防止：

　　arp　static　100.1.1.3　000f-3d81-45b4　1　e0/8

　　同理，也可以配置静态arp来防止设备学习到错误的arp表项。

　　对于二层设备(3050和3026系列),除了可以配置静态arp外，还可以配置IP+mac+port绑定，比如在3026C端口4上作如下操作：

　　am　user-bind　ip-addr　100.1.1.4　mac-addr　000d-88f8-09fa　int　e0/4

　　则ip为100.1.1.4并且mac为000d-88f8-09fa的arp报文可以通过e0/4端口，仿冒其它设备arp报文无法通过，从而不会出现错误arp表项。

　　【总结】

　　有网络的地方，就有网络安全的存在。我们知道，在局域网中，ARP的欺骗攻击是我们无法预料和绝对防止，但我们能够将其尽可能的降低。其中，网关的设置尤为重要，他是网络的进出口，也是ARP攻击的脆弱点。acket-filter　user-group　5000

　　这样只有3026C_A上连设备能够下发网关的ARP报文，其它pc就不能发送假冒网关的arp响应报文。

　　2）三层交换机防攻击配置举例

　　对于三层设备，需要配置过滤源IP是网关的arp报文的acl规则，配置如下acl规则：

　　ACL　num　5000

　　rule　0　deny　0806　ffff　24　64010105　ffffffff　40

　　注：rule0目的：把所有3526E端口冒充网关的ARP报文禁掉，64010105是网关ip地址的16进制表示形式：100.1.1.5=64010105。

相关视频

没有数据

文章评论

查看所有0条评论>>