简介这是一份关于局域网ARP攻击及防御策略研究的毕业设计论文属于Word格式的管理类文档适合计算机网络专业学生、网络安全初学者以及正在筹备相关课题的研究者阅读参考。文档内容脉络清晰先从ARP协议的基础原理讲起涵盖地址解析的作用、动态地址解析方法、ARP标准与历史、ARP信息格式、ARP缓存及代理ARP等基础知识点帮助读者建立完整的协议认知随后聚焦ARP欺骗深入分析欺骗原理、常见攻击方式、攻击检测手段与防御思路并结合实际局域网中遭遇ARP病毒攻击时的症状展示如何利用抓包工具截获攻击包并进行前后对比分析在此基础上提出针对网关ARP欺骗和网内主机ARP欺骗的分场景防御方案同时给出防御方法的改进建议。资源包共包含1个docx文件大小约162KB体积小巧但内容丰富结构完整便于下载后按目录查阅。目前已有96人学习下载对于理解协议安全漏洞、完成网络安全类课程设计或毕业设计、撰写相关技术报告具有不错的参考价值。1. 局域网ARP攻击卡顿和丢包背后的问题一个200台终端的办公网白天突然间歇性断网核心交换机CPU不高、上联口没有错包但网关却ping不通。拔掉一台旧打印机网络立刻恢复。这种“找不到原因”的故障超过一半最后都落在ARP上。ARP是局域网设备把IP解析成MAC的机制它从设计之初就没有考虑终端身份认证。任何在同一个二层域里的主机都可以声称自己是某个IP并让其他主机把流量都交到它手里。这不只是卡顿而是数据被截获、篡改、或者直接丢掉的链路层入口。下面的方案从协议原理起步先用最小代码把ARP行为抓出来看再落到终端、交换机、网关三个层面的防御参数最后用一组Wireshark过滤器验证效果并定位伪造源。适合正在处理网络卡顿、做安全运维的工程师以及负责校园网、办公网建设的管理人员。2. ARP协议原理与攻击面缓存、免费ARP与三层攻击路径2.1 请求应答与缓存更新信任来自哪里ARPAddress Resolution Protocol地址解析协议解决的是“已知IP、如何找到MAC”的问题。主机在发包前先查本地ARP缓存缓存里没有就发一个二层广播目标IP写在报文里目标MAC填全Fff:ff:ff:ff:ff:ff。拥有这个IP的设备收到后返回单播ARP应答把自己的MAC填进去。发起方收到应答后把IP到MAC的映射写入缓存随后按缓存转发。这个机制有三个关键细节攻击都发生在这些细节上。第一ARP请求是广播的同一个VLAN内的所有设备都能收到也都能应答第二ARP应答不要求先有请求主动发给别人的应答同样会被接受第三接收方收到任何ARP报文后都会更新缓存里的对应条目哪怕它已有静态条目。换句话说ARP把信任完全交给了每个终端这就是arp协议原理里最根本的弱点。报文源MAC目的MAC作用信任风险请求主机实际MACff:ff:ff:ff:ff:ff查询IP对应的MAC任何主机都能应答应答声称该IP的主机MAC发起请求的主机MAC返回IP-MAC映射收到即更新缓存免费ARP主机实际MACff:ff:ff:ff:ff:ff通告自己的IP-MAC无需请求即可投毒2.2 免费ARP被省略的身份校验免费ARPGratuitous ARP是源IP和目的IP相同的广播报文。设备启动、更换IP、DHCP获得地址时都会发一条免费ARP作用有两层一是告诉整个子网“这个IP对应我这张MAC”二是做IP地址冲突检测。如果别人回了一条免费ARP说明地址被占用。问题在于免费ARP的接收方同样不做来源校验。一台终端可以随便声称自己的IP是网关IP然后广播一条免费ARP全网主机的ARP缓存会在几秒内把网关MAC更新成它的MAC。抓包时会看到大量“谁拥有网关IP”的应答但没有任何机制去确认应答者是否有权使用这个IP。这一条就是ARP投毒最直接的入口也是后面所有防御策略要掐住的第一个点。2.3 用Python抓包观察ARP行为在动手配置防御之前先用最少代码把ARP报文的实际行为看一遍。下面这个脚本用Scapy监听网卡上的ARP流量并把每个报文的op、源IP、源MAC打印出来from scapy.all import sniff, ARP def show_arp(pkt): if ARP in pkt: arp pkt[ARP] if arp.op 1: print(f[请求] 源IP{arp.psrc} 源MAC{arp.hwsrc} 在问 {arp.pdst} 的MAC) elif arp.op 2: note - 免费ARP if arp.psrc arp.pdst else print(f[应答] {arp.psrc}({arp.hwsrc}) 声称硬地址是 {arp.hwsrc}{note}) sniff(prnshow_arp, filterarp, store0, count50)代码逻辑很直接sniff持续监听count50表示收到50个ARP报文后自动停止filter过滤条件只保留arp。打印时判断op字段1是请求2是应答当应答报文的psrc和pdst相同时说明这是一条免费ARP单独加标记。跑这个脚本要选一个业务流量小、确定没有干扰的接入交换机端口或者直接在实验网里跑。它在观察模式下不会主动发包对已有网络风险很小但如果接在镜像口上且量太大注意CtrlC手动停止避免终端刷屏。2.4 把攻击面收拢成三类把上面观察到的行为统一归纳局域网里的ARP攻击面其实只有三块缓存投毒向目标主机主动发应答伪造IP-MAC绑定、免费ARP广播劫持用免费ARP通告网关地址、广播放大大量ARP请求形成风暴耗尽交换机CPU。前两类作用于数据路径第三类作用于资源消耗。和它平行的还有无线侧的deauth攻击那是直接在链路层关闭目标与AP的连接和ARP一样都属于“二层共模攻击”而xss、csrf发生在应用层ddos是流量型攻击。处理局域网安全问题时要先分层三层以上的问题别拿到二层来治。3. ARP欺骗与ARP泛洪攻击流量到底是什么样3.1 单向欺骗、双向欺骗与中间人先分清两种欺骗模式。单向欺骗是攻击者冒充网关让目标主机把数据发给攻击者MAC。目标主机以为自己还在和网关通信实际上出网链路已经被改变。双向欺骗则同时欺骗目标主机和网关形成“主机→攻击者→网关”的完整转发链流量经过攻击者网卡后再转发出去这就是ARP中间人ARP Man-in-the-Middle。两种模式在流量特征上的差异很大。单向欺骗会导致目标主机访问外网异常但访问其他局域网主机有时正常双向欺骗时业务通常不中断但延迟变高因为所有数据都要在攻击者网卡里多过一次三层的转发处理。用ping和tracert很难看出中间人但抓包时只要对比网关MAC是否稳定就能暴露。模式欺骗对象流量走向典型后果单向欺骗目标主机或网关目标→攻击者→网关单向截获目标部分断网双向欺骗目标主机网关目标→攻击者→网关→外部完整内容被截获、篡改ARP泛洪全网广播风暴交换机CPU升高业务时断时续3.2 用Scapy复现一次最小实验观察防御侧反应理解攻击流量特征最好的方式是在自己控制的实验网里复现一次。下面的代码只做最小实验向一台目标主机主动发送伪造的ARP应答声称网关IP对应某张伪造MAC。这份代码只允许跑在你自己控制的交换机下不能用在任何他人网络里它的价值是让防御侧知道要在交换机抓包时找什么样的特征。from scapy.all import Ether, ARP, sendp def poison_one(target_ip, target_mac, fake_ip, hw_fake, ifaceeth0, count3): frame ( Ether(dsttarget_mac, srchw_fake) / ARP(op2, psrcfake_ip, hwsrchw_fake, pdsttarget_ip, hwdsttarget_mac) ) sendp(frame, ifaceiface, inter1, countcount) print(f已向 {target_ip} 发送 {count} 条伪造应答声称 {fake_ip} 的MAC是 {hw_fake})注意这里必须同时伪造以太网层的src否则交换机的MAC表会暴露攻击者的真实接口。sendp的inter1表示间隔1秒发送一次目的是持续刷新目标缓存防止被ARP老化定时器恢复。count3只维持三秒观察快速恢复的过程。运行时在网关或交换机上抓包你会看到同一源IP不断换MAC或者源IP是网关、源MAC却是终端网卡的情况。3.3 ARP泛洪与拒绝服务另一类常见攻击是ARP泛洪。攻击者循环广播大量ARP请求或应答让交换机的CPU在处理ARP协议报文上耗尽资源同时把缓存中的合法条目不断挤出去。在选择“校园网攻击思路”或断网类故障排查时这是最常见的让整个网段掉线的手法告警上看不到明显的流量截获但全网丢包严重交换机日志里满是ARP input queue深度告警。这类攻击和xss、csrf、ddos不是同一个层面的东西。xss、csrf发生在应用层ddos主要靠流量规模压垮链路ARP泛洪是二层资源耗尽。排查时的规律是应用层攻击看前端日志流量型攻击看带宽和防火墙会话数而ARP泛洪必须先看交换机的ARP报文计数和CPU利用率。4. 防御策略从终端到网关静态ARP、DHCP Snooping与网关限速4.1 终端侧静态ARP绑定与系统加固命令最靠近终端的防御是静态ARP绑定把合法网关或服务器的IP-MAC关系固定下来防止缓存被伪造应答改写。Windows下推荐用netsh命令比arp -s更稳在多网卡时不至于写错接口netsh interface ipv4 set neighbors 以太网 192.168.1.1 aa-bb-cc-dd-ee-ff arp -aLinux下用ip neigh命令nud permanent表示永久状态不会参与老化sudo ip neigh replace 192.168.1.1 dev eth0 lladdr aa:bb:cc:dd:ee:ff nud permanentWindows的注意点是接口名必须用netsh interface ipv4 show interfaces确认“以太网”这个名称在不同系统语言版本里可能不同。Linux的永久条目在重启后会失效需要写进systemd服务或/etc/rc.local。静态绑定的局限也很明显终端数量一多就难维护如果网关以后换设备全网终端都要跟着改。所以它一般只用在对稳定性要求高的服务器和网关之间不适用于整个办公网。提示在Windows上执行上述命令需要管理员权限。执行成功后用arp -a查看条目类型显示为“静态”才算生效。4.2 交换机侧DHCP Snooping、DAI与端口安全参数交换机是防御ARP的核心阵地。DHCP Snooping监听DHCP交互过程建立“端口↔IP↔MAC”的绑定表DAIDynamic ARP Inspection动态ARP检测利用这张表校验每个ARP报文不在表内的直接丢弃。常见部署是接入层交换机对用户VLAN同时开启DHCP Snooping和DAI上联口和网关所在端口设成trust接入终端端口不设trust。下面是一段思路级的交换机配置思科、华为、锐捷的语法略有差异但关键参数一致抄的时候替换为对应厂商风格ip dhcp snooping vlan 10 ip dhcp snooping ip arp inspection vlan 10 interface GigabitEthernet1/0/1 ip dhcp snooping trust ip arp inspection trust ! interface GigabitEthernet1/0/2 ip dhcp snooping limit rate 15 ip arp inspection limit rate 15上联口GigabitEthernet1/0/1设成trust放行合法网关的ARP报文接入口GigabitEthernet1/0/2不设trustDAI会校验它收到的每一个ARP报文。limit rate是限速参数防止ARP洪泛把CPU打满。接入侧如果存在不使用DHCP的打印机、服务器等静态IP设备它们不在绑定表里需要在交换机人工加静态绑定条目。参数作用常见误用ip dhcp snooping vlan把监听范围限定到具体VLAN不写vlan导致全局监听性能浪费ip arp inspection limit rate限制每端口每秒ARP包数量设为0或过大等于没限太小误伤正常终端trust接口信任上联和合法网关把接入端口也设成trustDAI直接失效DAI有一个容易被忽略的配置顺序必须先开DHCP Snooping并让它建立绑定表DAI才有数据可用。如果先开DAI后开DHCP Snooping接入侧所有ARP会在绑定表为空时被丢弃表现为全网断网。上联口忘记设trust则正好相反网关发来的合法ARP也会被当成伪造现象同样是断网。4.3 网关侧IP-MAC绑定与ARP报文限速网关承担两层职责它是三层路由入口也是所有终端ARP查询的对象。网关MAC一旦被假冒影响的是整个网段。因此在网关设备上要把合法网关IP和MAC做成固定绑定同时开启防ARP扫描和泛洪限速。华为设备常见的思路级命令是这样arp anti-attack check src-mac arp anti-attack check user第一行校验ARP报文的源MAC和以太网帧头源MAC是否一致不一致就丢弃第二行限制单一IP地址的ARP报文速率。思科设备上对应的做法是DAI加DAI限速的结合。启用这些检测之前先观察一段时间的正常ARP表把真正会发起ARP扫描的网管软件、设备流量都摸清否则误杀率会很高。网关侧的尝试不能只看有没有丢包。很多网络设备默认不打印ARP攻击告警需要主动开启日志或关联到告警平台。在办公网环境里建议把“设备扫描行为”和“流量异常增加”转发到日志服务器这样安全事件处置时才有据可查网络流量分析与攻击溯源才有第一手数据。5. 验证与溯源用Wireshark过滤器和交换机计数钉住攻击源5.1 一组能直接粘贴的过滤器Wireshark和tshark共用同一套过滤器语法在服务器上也能用。下面这一组表达式覆盖了最常见的ARP异常判断目标表达式只看ARP流量arp找重复地址通告arp.duplicate-address-frame 1某个IP对应的MAC变化arp.src.proto_ipv4 192.168.1.1免费ARP调度arp.op 2 arp.pdst arp.psrc免费ARP过滤在正常网络里会周期性出现尤其是DHCP刷新时。如果发现某一台终端的免费ARP里通告的IP是网关地址或者同一IP在几十秒内换了三张MAC基本可以断定正在发生ARP欺骗。5.2 三步验证防御是否生效第一步验证主机侧。对抗时期用arp -a或ip neigh show看网关MAC是否为合法值如果静态条目被改写或消失说明防御还没兜住。第二步看交换机侧DAI拦截统计show ip arp inspection statistics重点看接入端口上Invalid ARP的计数是否持续增长。计数不动说明拓扑已经干净计数在涨说明还有伪造报文在打这个端口需要继续定位。第三步看网关上是否还有伪造源IP。网关设备的日志或debug能看到同一源IP不断发送不同MAC的ARP这说明攻击仍然存在只是被拦在了交换机外面。5.3 用端口计数钉住攻击源攻击源通常不在网关而在接入侧。按三步收敛先查交换机各端口ARP报文计数增长最快的端口优先圈定再在该端口配置镜像用上面的免费ARP过滤器抓包对比DHCP Snooping表看谁在冒用地址如果攻击者持续变换MAC规避直接把端口shutdown观察全网是否恢复恢复即说明攻击源就在这个口下面再做接入层隔离和终端整改。把这一组过滤表达式和交接步骤直接丢给值班人员配合交换机的MAC地址表通常在一个小时内就能把同一个VLAN内的伪造源定位到具体接口再决定是隔离终端还是从网络设计上收紧二层信任范围。本文还有配套的精品资源点击获取 局域网ARP攻击与防御实战：从缓存投毒到DHCP Snooping排查
简介这是一份关于局域网ARP攻击及防御策略研究的毕业设计论文属于Word格式的管理类文档适合计算机网络专业学生、网络安全初学者以及正在筹备相关课题的研究者阅读参考。文档内容脉络清晰先从ARP协议的基础原理讲起涵盖地址解析的作用、动态地址解析方法、ARP标准与历史、ARP信息格式、ARP缓存及代理ARP等基础知识点帮助读者建立完整的协议认知随后聚焦ARP欺骗深入分析欺骗原理、常见攻击方式、攻击检测手段与防御思路并结合实际局域网中遭遇ARP病毒攻击时的症状展示如何利用抓包工具截获攻击包并进行前后对比分析在此基础上提出针对网关ARP欺骗和网内主机ARP欺骗的分场景防御方案同时给出防御方法的改进建议。资源包共包含1个docx文件大小约162KB体积小巧但内容丰富结构完整便于下载后按目录查阅。目前已有96人学习下载对于理解协议安全漏洞、完成网络安全类课程设计或毕业设计、撰写相关技术报告具有不错的参考价值。1. 局域网ARP攻击卡顿和丢包背后的问题一个200台终端的办公网白天突然间歇性断网核心交换机CPU不高、上联口没有错包但网关却ping不通。拔掉一台旧打印机网络立刻恢复。这种“找不到原因”的故障超过一半最后都落在ARP上。ARP是局域网设备把IP解析成MAC的机制它从设计之初就没有考虑终端身份认证。任何在同一个二层域里的主机都可以声称自己是某个IP并让其他主机把流量都交到它手里。这不只是卡顿而是数据被截获、篡改、或者直接丢掉的链路层入口。下面的方案从协议原理起步先用最小代码把ARP行为抓出来看再落到终端、交换机、网关三个层面的防御参数最后用一组Wireshark过滤器验证效果并定位伪造源。适合正在处理网络卡顿、做安全运维的工程师以及负责校园网、办公网建设的管理人员。2. ARP协议原理与攻击面缓存、免费ARP与三层攻击路径2.1 请求应答与缓存更新信任来自哪里ARPAddress Resolution Protocol地址解析协议解决的是“已知IP、如何找到MAC”的问题。主机在发包前先查本地ARP缓存缓存里没有就发一个二层广播目标IP写在报文里目标MAC填全Fff:ff:ff:ff:ff:ff。拥有这个IP的设备收到后返回单播ARP应答把自己的MAC填进去。发起方收到应答后把IP到MAC的映射写入缓存随后按缓存转发。这个机制有三个关键细节攻击都发生在这些细节上。第一ARP请求是广播的同一个VLAN内的所有设备都能收到也都能应答第二ARP应答不要求先有请求主动发给别人的应答同样会被接受第三接收方收到任何ARP报文后都会更新缓存里的对应条目哪怕它已有静态条目。换句话说ARP把信任完全交给了每个终端这就是arp协议原理里最根本的弱点。报文源MAC目的MAC作用信任风险请求主机实际MACff:ff:ff:ff:ff:ff查询IP对应的MAC任何主机都能应答应答声称该IP的主机MAC发起请求的主机MAC返回IP-MAC映射收到即更新缓存免费ARP主机实际MACff:ff:ff:ff:ff:ff通告自己的IP-MAC无需请求即可投毒2.2 免费ARP被省略的身份校验免费ARPGratuitous ARP是源IP和目的IP相同的广播报文。设备启动、更换IP、DHCP获得地址时都会发一条免费ARP作用有两层一是告诉整个子网“这个IP对应我这张MAC”二是做IP地址冲突检测。如果别人回了一条免费ARP说明地址被占用。问题在于免费ARP的接收方同样不做来源校验。一台终端可以随便声称自己的IP是网关IP然后广播一条免费ARP全网主机的ARP缓存会在几秒内把网关MAC更新成它的MAC。抓包时会看到大量“谁拥有网关IP”的应答但没有任何机制去确认应答者是否有权使用这个IP。这一条就是ARP投毒最直接的入口也是后面所有防御策略要掐住的第一个点。2.3 用Python抓包观察ARP行为在动手配置防御之前先用最少代码把ARP报文的实际行为看一遍。下面这个脚本用Scapy监听网卡上的ARP流量并把每个报文的op、源IP、源MAC打印出来from scapy.all import sniff, ARP def show_arp(pkt): if ARP in pkt: arp pkt[ARP] if arp.op 1: print(f[请求] 源IP{arp.psrc} 源MAC{arp.hwsrc} 在问 {arp.pdst} 的MAC) elif arp.op 2: note - 免费ARP if arp.psrc arp.pdst else print(f[应答] {arp.psrc}({arp.hwsrc}) 声称硬地址是 {arp.hwsrc}{note}) sniff(prnshow_arp, filterarp, store0, count50)代码逻辑很直接sniff持续监听count50表示收到50个ARP报文后自动停止filter过滤条件只保留arp。打印时判断op字段1是请求2是应答当应答报文的psrc和pdst相同时说明这是一条免费ARP单独加标记。跑这个脚本要选一个业务流量小、确定没有干扰的接入交换机端口或者直接在实验网里跑。它在观察模式下不会主动发包对已有网络风险很小但如果接在镜像口上且量太大注意CtrlC手动停止避免终端刷屏。2.4 把攻击面收拢成三类把上面观察到的行为统一归纳局域网里的ARP攻击面其实只有三块缓存投毒向目标主机主动发应答伪造IP-MAC绑定、免费ARP广播劫持用免费ARP通告网关地址、广播放大大量ARP请求形成风暴耗尽交换机CPU。前两类作用于数据路径第三类作用于资源消耗。和它平行的还有无线侧的deauth攻击那是直接在链路层关闭目标与AP的连接和ARP一样都属于“二层共模攻击”而xss、csrf发生在应用层ddos是流量型攻击。处理局域网安全问题时要先分层三层以上的问题别拿到二层来治。3. ARP欺骗与ARP泛洪攻击流量到底是什么样3.1 单向欺骗、双向欺骗与中间人先分清两种欺骗模式。单向欺骗是攻击者冒充网关让目标主机把数据发给攻击者MAC。目标主机以为自己还在和网关通信实际上出网链路已经被改变。双向欺骗则同时欺骗目标主机和网关形成“主机→攻击者→网关”的完整转发链流量经过攻击者网卡后再转发出去这就是ARP中间人ARP Man-in-the-Middle。两种模式在流量特征上的差异很大。单向欺骗会导致目标主机访问外网异常但访问其他局域网主机有时正常双向欺骗时业务通常不中断但延迟变高因为所有数据都要在攻击者网卡里多过一次三层的转发处理。用ping和tracert很难看出中间人但抓包时只要对比网关MAC是否稳定就能暴露。模式欺骗对象流量走向典型后果单向欺骗目标主机或网关目标→攻击者→网关单向截获目标部分断网双向欺骗目标主机网关目标→攻击者→网关→外部完整内容被截获、篡改ARP泛洪全网广播风暴交换机CPU升高业务时断时续3.2 用Scapy复现一次最小实验观察防御侧反应理解攻击流量特征最好的方式是在自己控制的实验网里复现一次。下面的代码只做最小实验向一台目标主机主动发送伪造的ARP应答声称网关IP对应某张伪造MAC。这份代码只允许跑在你自己控制的交换机下不能用在任何他人网络里它的价值是让防御侧知道要在交换机抓包时找什么样的特征。from scapy.all import Ether, ARP, sendp def poison_one(target_ip, target_mac, fake_ip, hw_fake, ifaceeth0, count3): frame ( Ether(dsttarget_mac, srchw_fake) / ARP(op2, psrcfake_ip, hwsrchw_fake, pdsttarget_ip, hwdsttarget_mac) ) sendp(frame, ifaceiface, inter1, countcount) print(f已向 {target_ip} 发送 {count} 条伪造应答声称 {fake_ip} 的MAC是 {hw_fake})注意这里必须同时伪造以太网层的src否则交换机的MAC表会暴露攻击者的真实接口。sendp的inter1表示间隔1秒发送一次目的是持续刷新目标缓存防止被ARP老化定时器恢复。count3只维持三秒观察快速恢复的过程。运行时在网关或交换机上抓包你会看到同一源IP不断换MAC或者源IP是网关、源MAC却是终端网卡的情况。3.3 ARP泛洪与拒绝服务另一类常见攻击是ARP泛洪。攻击者循环广播大量ARP请求或应答让交换机的CPU在处理ARP协议报文上耗尽资源同时把缓存中的合法条目不断挤出去。在选择“校园网攻击思路”或断网类故障排查时这是最常见的让整个网段掉线的手法告警上看不到明显的流量截获但全网丢包严重交换机日志里满是ARP input queue深度告警。这类攻击和xss、csrf、ddos不是同一个层面的东西。xss、csrf发生在应用层ddos主要靠流量规模压垮链路ARP泛洪是二层资源耗尽。排查时的规律是应用层攻击看前端日志流量型攻击看带宽和防火墙会话数而ARP泛洪必须先看交换机的ARP报文计数和CPU利用率。4. 防御策略从终端到网关静态ARP、DHCP Snooping与网关限速4.1 终端侧静态ARP绑定与系统加固命令最靠近终端的防御是静态ARP绑定把合法网关或服务器的IP-MAC关系固定下来防止缓存被伪造应答改写。Windows下推荐用netsh命令比arp -s更稳在多网卡时不至于写错接口netsh interface ipv4 set neighbors 以太网 192.168.1.1 aa-bb-cc-dd-ee-ff arp -aLinux下用ip neigh命令nud permanent表示永久状态不会参与老化sudo ip neigh replace 192.168.1.1 dev eth0 lladdr aa:bb:cc:dd:ee:ff nud permanentWindows的注意点是接口名必须用netsh interface ipv4 show interfaces确认“以太网”这个名称在不同系统语言版本里可能不同。Linux的永久条目在重启后会失效需要写进systemd服务或/etc/rc.local。静态绑定的局限也很明显终端数量一多就难维护如果网关以后换设备全网终端都要跟着改。所以它一般只用在对稳定性要求高的服务器和网关之间不适用于整个办公网。提示在Windows上执行上述命令需要管理员权限。执行成功后用arp -a查看条目类型显示为“静态”才算生效。4.2 交换机侧DHCP Snooping、DAI与端口安全参数交换机是防御ARP的核心阵地。DHCP Snooping监听DHCP交互过程建立“端口↔IP↔MAC”的绑定表DAIDynamic ARP Inspection动态ARP检测利用这张表校验每个ARP报文不在表内的直接丢弃。常见部署是接入层交换机对用户VLAN同时开启DHCP Snooping和DAI上联口和网关所在端口设成trust接入终端端口不设trust。下面是一段思路级的交换机配置思科、华为、锐捷的语法略有差异但关键参数一致抄的时候替换为对应厂商风格ip dhcp snooping vlan 10 ip dhcp snooping ip arp inspection vlan 10 interface GigabitEthernet1/0/1 ip dhcp snooping trust ip arp inspection trust ! interface GigabitEthernet1/0/2 ip dhcp snooping limit rate 15 ip arp inspection limit rate 15上联口GigabitEthernet1/0/1设成trust放行合法网关的ARP报文接入口GigabitEthernet1/0/2不设trustDAI会校验它收到的每一个ARP报文。limit rate是限速参数防止ARP洪泛把CPU打满。接入侧如果存在不使用DHCP的打印机、服务器等静态IP设备它们不在绑定表里需要在交换机人工加静态绑定条目。参数作用常见误用ip dhcp snooping vlan把监听范围限定到具体VLAN不写vlan导致全局监听性能浪费ip arp inspection limit rate限制每端口每秒ARP包数量设为0或过大等于没限太小误伤正常终端trust接口信任上联和合法网关把接入端口也设成trustDAI直接失效DAI有一个容易被忽略的配置顺序必须先开DHCP Snooping并让它建立绑定表DAI才有数据可用。如果先开DAI后开DHCP Snooping接入侧所有ARP会在绑定表为空时被丢弃表现为全网断网。上联口忘记设trust则正好相反网关发来的合法ARP也会被当成伪造现象同样是断网。4.3 网关侧IP-MAC绑定与ARP报文限速网关承担两层职责它是三层路由入口也是所有终端ARP查询的对象。网关MAC一旦被假冒影响的是整个网段。因此在网关设备上要把合法网关IP和MAC做成固定绑定同时开启防ARP扫描和泛洪限速。华为设备常见的思路级命令是这样arp anti-attack check src-mac arp anti-attack check user第一行校验ARP报文的源MAC和以太网帧头源MAC是否一致不一致就丢弃第二行限制单一IP地址的ARP报文速率。思科设备上对应的做法是DAI加DAI限速的结合。启用这些检测之前先观察一段时间的正常ARP表把真正会发起ARP扫描的网管软件、设备流量都摸清否则误杀率会很高。网关侧的尝试不能只看有没有丢包。很多网络设备默认不打印ARP攻击告警需要主动开启日志或关联到告警平台。在办公网环境里建议把“设备扫描行为”和“流量异常增加”转发到日志服务器这样安全事件处置时才有据可查网络流量分析与攻击溯源才有第一手数据。5. 验证与溯源用Wireshark过滤器和交换机计数钉住攻击源5.1 一组能直接粘贴的过滤器Wireshark和tshark共用同一套过滤器语法在服务器上也能用。下面这一组表达式覆盖了最常见的ARP异常判断目标表达式只看ARP流量arp找重复地址通告arp.duplicate-address-frame 1某个IP对应的MAC变化arp.src.proto_ipv4 192.168.1.1免费ARP调度arp.op 2 arp.pdst arp.psrc免费ARP过滤在正常网络里会周期性出现尤其是DHCP刷新时。如果发现某一台终端的免费ARP里通告的IP是网关地址或者同一IP在几十秒内换了三张MAC基本可以断定正在发生ARP欺骗。5.2 三步验证防御是否生效第一步验证主机侧。对抗时期用arp -a或ip neigh show看网关MAC是否为合法值如果静态条目被改写或消失说明防御还没兜住。第二步看交换机侧DAI拦截统计show ip arp inspection statistics重点看接入端口上Invalid ARP的计数是否持续增长。计数不动说明拓扑已经干净计数在涨说明还有伪造报文在打这个端口需要继续定位。第三步看网关上是否还有伪造源IP。网关设备的日志或debug能看到同一源IP不断发送不同MAC的ARP这说明攻击仍然存在只是被拦在了交换机外面。5.3 用端口计数钉住攻击源攻击源通常不在网关而在接入侧。按三步收敛先查交换机各端口ARP报文计数增长最快的端口优先圈定再在该端口配置镜像用上面的免费ARP过滤器抓包对比DHCP Snooping表看谁在冒用地址如果攻击者持续变换MAC规避直接把端口shutdown观察全网是否恢复恢复即说明攻击源就在这个口下面再做接入层隔离和终端整改。把这一组过滤表达式和交接步骤直接丢给值班人员配合交换机的MAC地址表通常在一个小时内就能把同一个VLAN内的伪造源定位到具体接口再决定是隔离终端还是从网络设计上收紧二层信任范围。本文还有配套的精品资源点击获取