[导读]　　ARP协议对于网络来说是一把双刃剑。

　　ARP协议对于网络来说是一把双刃剑。一方面ARP协议是网络通信中不可或缺的协议，其就仿佛是一个问路人，在肯定程度上决定了数据的传输路径。在另一方面，其又轻易被攻击者运用，担当不恰当的角色。现在针对ARP的攻击，可以说是层次不穷。虽然相关的措施也有不少，但是道高一尺、魔高一丈，防不胜防。针对这种情况，在思科的网络产品中，想象了动态ARP检测的技术。虽然这个技术不能够从根本上解决ARP带来的安全隐患，但是对于遏制其危害，特别是中间人攻击方面，仍旧有独到的表现。

　　一、中间人攻击案例模拟

　　如上图，是一个简朴的网络架构图。有三台终端同时联结到同一个工作组交换机中。(实际情况可能会有更多的终端，为了简朴起见，笔者以三个终端为例)。此时如果主机A需要访问主机B(第一次访问时只明白对方的IP地址而不明白MAC地址)，就需要先发送一个ARP哀求。向各台主机询问，IP地址为多少的主机其MAC地址为多少，并会附上主机A的MAC地址。这个ARP哀求会以广播的形式在网络中传播，即网络中的每一台客户端都将受到这个信息。正常情况下，除了B以外的不相关的主机都会丢弃这个数据包。而只有主机B接收到这个哀求后，才会进行响应。主机B首先会在自己的ARP缓存中创建主机A IP地址与MAC地址的相关记录(如果已经存在这个IP地址，则会进行更新)，并向主机A发送ARP响应。此时的ARP响应是一个单播数据包，即直接发送给主机A，而不是以广播的形式发送。

　　以上是一个比较正常的ARP处理流程。但是在这个处理的过程中，如果没有采取恰当的安全措施，则很可能会引发中间人攻击。如上图所示，如果终端装备C在收到主机A发送的ARP哀求之后，没有抛弃这个数据包，而是发送了伪造的ARP响应(将自己的MAC地址替代主机B的MAC地址)，其就可以发起中间人攻击。在接收到主机C的ARP响应之后，主机A将不能够拥有主机B的准确MAC地址与IP地址。对于主机A来说，它就会错误的认为主机C就是其要发送数据的对象。从而将数据直接发送给主机C。此时对于主机A和主机B之间的任何通信，就会被发送到主机C上。然后主机C在获取相关的内容之后，可能进行流量的重定向。在这个过程中，主机C就被称为中间人。这个过程就被称为中间人攻击。

　　二、通过动态ARP检测来防止中间人攻击

　　为了有效防止中间人攻击，在思科的网络产品中想象了动态ARP检测。其原理比较简朴，就是交换机的相关端口会自动检测ARP数据包来自于准确的端口，并且没有被攻击者所更改或者欺骗。这个原理说起来简朴，其实要完成起来需要经过很多的技术处理。通常情况下，通过DHCP监听绑定表，交换机能够确定准确的端口。如果交换机能够数据来自错误的端口，则会自动抛弃这个数据包，并会将相关的信息记录在案。而且还会将违规端口设置为err-disable状态，攻击者将不能够对网络进行进一步的破坏工作。

　　如上图所示，如果要在这个环境中启用动态ARP检测技术，需要执行如下几个步骤。

　　第一步是需要在各个交换机端口上启用DHCP监听。如上所示，动态ARP检测需要判断数据的端口是否来自合法的端口。而要检测这个内容的话，必须要有DHCP监听绑定表。而这个表则是有DHCP监听程序创建的。这里需要注意，要在交换机所有的接口上启用这个监听服务。否则的话，就可能会出现问题。

　　第二步是比较关键，是需要将交换机间的联结配置为DAI(动态ARP检测)信任端口。在上面举例子的时分，笔者为了简朴起见，只画了一个工作组交换机。而在实际工作中，企业往往是有多个交换机共同组成一个网络。此时如果让多个交换机之间也能够启用动态ARP检测功能呢?其需要做的配置，就是将交换机之间的链路配置为DAI信任端口。可以运用命令ip arp inspection trust来完成。

　　当启用了动态ARP检测功能，如果再发生中间人攻击事件的话，交换机会如何应对呢?如上图所示，当攻击者C联结到工作组交换机，并且试图发送虚假的ARP响应时，交换机会根据DHCP监听绑定表检测到这种攻击行为，并会丢弃这个ARP数据包。然后交换机会将这个攻击者C所联结的端口设置为err-disable状态，并向管理员发出警报。

　　当启用了动态ARP检测的时分，需要注意其误诊断的情况。如上图所示，如果中间人C其不是直接联结在工作组交换机上。而是联结在一个集线器上。然后再通过这个集线器联结到交换机。此时当其发出中间者攻击时，交换机会将这个接口关闭掉。此时联结在这个接口上的所有主机都将无法与网络进行通信。这个“一人有罪，全家受罚”的方法，往往会触及到无辜。网络管理员在启用这个功能时，需要考虑到这个负面作用。在后续排除故障的时分，也会有参考的价值。

　　三、动态ARP检测在其他方面的作用

　　ARP动态检测功能在防止中间人攻击方面有比较特别的表现。但是其功能还远远不止这个方面。如ARP动态检测功能还可以完成ARP抑制。即限制入站ARP数据包的速率。如果当ARP数据包的速率达到一个指定的数值之后，此时可能网络中存在着ARP攻击。在这种情况下，交换机会自动将这个接口设置为disable状态。要启用ARP抑制功能，需要在交换机中进行额外的配置。如可以通过如下命令来完成：ip arp inspection limit rate (ARP数据包速率)。执行这个配置并不难，其难点在于如何确定这个速率。如果速率设置的比较高，那么起不到ARP抑制的功能。相反，如果设置的比较低的话，又可能会影响到网络的正常运用。

　　四、动态ARP检测需要运用的相关技术

　　从以上的分析中可以看出，动态ARP检测并不是一门独立的技术，其必须要有其他的技术的帮助才能够完成。故笔者更喜欢将其称为一个技术的搭配。如需要启用DHCP监听程序才能够帮助交换机判断数据来源接口的合法性等等。当启用ARP检测技术的时分，交换机会自动判断是否启用了一些必须的辅助技术。如果没有启用的话，交换机会报错，并终止用户的哀求。所以在配置这个功能的时分，网络管理员还需要了解其他与之关联的技术。特别是需要了解其完成的一些前提条件，即需要先启用哪些技术。

　　在实际工作中，如像用户介绍或者培训过程中，笔者将动态ARP检测技术当作一个安全的解决方案(几种技术的搭配)，而不是一门单独的技术。这无论是在学习还是在配置中都需要引起重视。笔者再强调一次，动态ARP检测是一种结合DHCP监听技术、IPSG技术等等的安全方案，其主要用来解决跟ARP攻击相关的安全问题。它能够有效保护多层交换网络中接入层的ARP攻击，如ARP中间人攻击、ARP欺骗、ARP扩散攻击，完成ARP抑制等等。当然在完成的过程中，也会存在一些负面作用。其最大的负面影响就是会使得联结在同一个接口上的其他无辜用户遭受到损失。在想象与部署动态ARP检测功能的时分，需要考虑到这个问题。如当联结到某个接口的终端出现网络故障，而其他接口运作正常时，就需要考虑到是否是这个原因所造成的。

相关知识

技巧分享：动态ARP检测防止中间人攻击
家居支招：新年家居布置技巧分享
花草植物来帮忙 春季家居防尘技巧分享
简名敏分享：高级灰的多彩表情——潮流面料初体验
一位孕妈的真实分享：泰拉蒙陪着宝宝健康出生长大
计算机四级考试：DB2数据库的使用技巧分享
箭牌衣柜分享：定制衣柜选购小攻略
家装面子多重要 装修壁纸选购技巧分享
分享：新装修的房子怎么去味消毒？
贝尔地板分享：开放式装修 让通透感遍布每个角落