ARP***的原理和防範技術

       在現今的運營商網絡中，Ethernet是最經常使用的接入手段，而ARP協議做爲Ethernet網絡上的開放協議，因爲自己過於簡單和開放，沒有任何的安全手段，爲惡意用戶的***提供了可能。本文爲你們介紹arp***的原理和常見的防範技術。

1、ARP協議的概念

       ARP協議是"Address Resolution Protocol"（地址解析協議）的縮寫。在局域網中，網絡中實際傳輸的是"幀"，幀裏面是有目標主機的MAC地址的。

       在以太網中，一個主機要和另外一個主機進行直接通訊，必需要知道目標主機的MAC地址。但這個目標MAC地址是如何得到的呢？它就是經過地址解析協議得到的。所謂"地址解析"就是主機在發送幀前將目標IP地址轉換成目標MAC地址的過程。ARP協議的基本功能就是經過目標設備的IP地址，查詢目標設備的MAC地址，以保證通訊的順利進行。

 

2、APR***的原理

       ARP的***方式多種多樣，有針對主機的，也有針對網關的；有地址欺騙型的，也有野蠻***型的；有來自病毒的***也有來自非法軟件的人爲***。

 

一、地址欺騙***

1）簡單的地址欺騙

       這是比較常見的***，經過發送僞造的ARP包來欺騙路由和目標主機，讓目標主機認爲這是一個合法的主機，便完成了欺騙。這種欺騙多發生在同一網段內，由於路由不會把本網段的包向外轉發，固然實現不一樣網段的***也有方法，經過ICMP協議來告訴路由器從新選擇路由就能夠了。

2）交換環境的嗅探

       在最初的小型局域網中咱們使用HUB來進行互連，這是一種廣播的方式，每一個包都會通過網內的每臺主機，經過使用軟件，就能夠嗅談到整個局域網的數據。如今的網絡可能是交換環境，網絡內數據的傳輸被鎖定的特定目標。既已肯定的目標通訊主機。在ARP欺騙的基礎之上，能夠把本身的主機僞形成一箇中間轉發站來監聽兩臺主機之間的通訊。

 

二、野蠻***型

       野蠻***型包括MAC Flooding和基於ARP的DOS等。

       MAC Flooding 是一個比較危險的***，主要利用路由器ARP緩存的有限性，經過發送大量僞造的ARP請求、應答報文，形成路由器的ARP緩存溢出，從而沒法緩存正常的ARP表項，進而阻礙正常轉發，使整個網絡不能正常通訊。

       基於ARP的DOS 是新出現的一種***方式，D.O.S又稱拒絕服務***，當大量的鏈接請求被髮送到一臺主機時，因爲主機的處理能力有限，不能爲正經常使用戶提供服務，便出現拒絕服務。這個過程當中若是使用ARP來隱藏本身，在被***主機的日誌上就不會出現真實的IP。***的同時，也不會影響到本機。

 

3、防止ARP***的常見技術

       ARP安全配置是基於ARP的安全特性，經過過濾不信任的ARP報文、對某些ARP報文采用時間戳抑制、過濾非法的ARP報文、對上送CPU的正常報文作動態CAR，不只可以防範針對ARP協議的***，還能夠防範網段掃描***等基於ARP協議的***。

 

一、基於接口的ARP表項限制

       經過限制每一個接口ARP表項學習的總數目，能夠有效的防止ARP緩存溢出並限制***影響的範圍，使***範圍侷限在接口以內，保證ARP表項的安全性。能夠經過配置如下功能來限制每一個接口ARP表項學習的總數目：

1）在全局或接口下配置嚴格學習ARP表項

2）在接口板上配置對ARP報文進行時間戳抑制

3）在接口上限制ARP表項的最大學習數目

 

二、基於時間戳的防掃描

       基於時間戳的防掃描特性可以在掃描（不管是ARP掃描仍是IP報文掃描）***發生時，及時識別並抑制對掃描產生的請求的處理，從而保護CPU資源。

 

三、防止網段掃描***

       大量的網段掃描報文會致使大量的ARP Miss消息，致使 路由器 的資源浪費在處理ARP Miss消息上，影響 路由器 對其餘業務的處理，造成掃描***。因此減小ARP Miss消息是解決掃描***的根本。

       經過對ARP Miss消息進行基於源IP地址的時間戳抑制，能夠限制每秒鐘容許經過的ARP Miss消息的個數，並進行日誌記錄和發送告警來達到防止網段掃描***的目的。

 

四、ARP雙向分離

       對於ARP請求報文，只要它的IP地址合法，通常沒法區分是正常報文仍是***報文。而在ARP的實際***中，ARP請求報文和響應報文的流量幾乎各佔50%。要解決大流量的ARP***問題，將ARP請求和ARP響應分開處理。

       ARP請求進行「無狀態應答」，即在進行ARP應答以後不產生ARP表項及相關的狀態，不上送CPU進行處理，而防止了使用ARP請求報文對網關設備ARP表進行地址欺騙的可能；

       ARP響應只上送CPU請求過的ARP報文，非CPU發出的ARP請求的ARP響應報文將被丟棄，有效地保證了來自正常主機的ARP請求報文被及時響應處理。

 

五、VLAN訪問控制

       保證ARP***發生時VLAN間的隔離，隻影響到***所在的VLAN，這樣對設備和業務的影響就會大大下降。

 

六、過濾ARP報文

       對非法的ARP報文、免費ARP報文、接收方MAC地址是非空的ARP請求報文進行過濾。其中，非法ARP報文包括：目的MAC地址爲單播的ARP請求報文、源MAC地址爲非單播的ARP請求報文、目的MAC地址是非單播的ARP響應報文。

 

文章出處：http://www.net1980.com/2011/01/28/arp-attack/