一种防ARP攻击方案

Ｏ、 述 概
的 冒充 合 法 用 户 的 Ａ Ｐ欺 骗报 文 、 安 全 数 据 通 道 放 行 的 冒充 Ｒ 或 在 网络 安 全 领 域 ． Ｒ Ａ Ｐ攻 击 和 欺 骗 一 直 是 普 遍存 在 的 问 题 合 法 用 户 的 Ａ Ｐ欺 骗 报 文 ． 而 防 止 合 法 用 户 被 冒充 而 导 致 断 Ｒ 从 安 全 问 题 ． 可 能是 用 户 的恶 意 行 为 ． 可 能 是 来 自于 病 毒 的作 网 、 息 被 窃 取 等 危 害 ， 升 网 络 部 署 的灵 活 性 、 全 性 及 稳 定 它 也 信 提 安 用 ． 接 影 响 就 是 网 管 人 员 需 要 深 入 ” 线 ” 去 排 除 这 些 攻 击 性 。 直 一 ．
Ａ Ｐ攻 击 主 要 是 指 欺 骗 主 机 发 出 的 Ａ Ｐ请 求 或 应 答 报 文 报 文 ．也 不 可 能 接 收 到 发 送 方 Ｉ Ｒ Ｒ Ｐ或 发 送 方 ＭＡ Ｃ为 该 主 机 的 中 ． 源 Ｉ 、 ＭＡ 将 Ｐ源 Ｃ设 为欺 骗 值 或 随 机 值 以 达 到 欺 骗 其 它 主 机 Ａ Ｐ报 文 ． 则 就 是 其 他 用 户 冒充 该 主机 进 行 欺骗 。 Ｒ 否 的 目的 ， 括 只修 改 源 Ｉ 只 修 改 源 ＭＡ 、 时 修 改 源 Ｉ 包 Ｐ、 Ｃ同 Ｐ和 源 根 据 这 个 原 则 ． 现 有 方 案 进 行 扩展 ， 旦 提 取 到 一 个 合 法 对 一 Ｍ Ｃ 等 方 法 ． 到阻 断 其 它 主机 上 网 或 充 当 其 它 主 机 的 中 间 人 用 户 的 Ｉ— Ｃ地址 及 作 用 端 口时 ．除 了添 加 一 条 合 法 用 户 的 Ａ 达 Ｐ ＭＡ 的 目的 Ｒ Ａ Ｐ欺骗 攻 击 可 以 导 致 局 域 网 内 用 户 大 面积 掉 线 ． 可 静态 Ａ Ｐ检测 表 项 到报 文 特 征 数 据 库 外 ．还需 要 另 外 为 主 机 １ 还 Ｒ
表 项设 置 到 交换 机 对 应 端 口的 报 文 特 征 数 据 库 中 。 同 时检 测输 入 交 换 机 受 控 端 口 的 Ａ Ｐ报 文 的 发 送 方 Ｉ Ｒ Ｐ地 址 和 发 送 ＭＡ Ｃ 地址 。 只有 符 合 报 文 特征 数 据 库 的 Ａ Ｐ报 文才 能通 过 。 Ｒ 该 方 案 能 够 有 效 方 式 局 域 网 内 部 的 Ａ Ｐ攻 击 ．但 是 静 态 Ｒ Ａ Ｐ检 测 表 项 只作 用 在 指 定 端 Ｖ ．所 以 要 求 交换 机 的所 有 端 口 Ｒ Ｉ 都 必 须 同时 开 启 Ａ Ｐ检 测 功 能 才 能 有 效 防 御 Ａ Ｐ欺 骗 ．这 很 Ｒ Ｒ 大 程 度 上 限 制 网络 部 署 的 灵 活 性 。 时 在 实 际部 署 时 ． 些 端 口 同 有 下 需要 使 用 安全 数 据 通 道 放 行 某 些 特 权 用 户 报 文 ．或 者 干脆 将 些 端 口分 配 为特 权 端 １ ．这 些 端 Ｅ 不 进 行 网络 安 全 功 能 的 配 ： １ ｌ
源， 当问 题 存 在 普遍 性 时 ， 这种 排 查 问题 的耗 费 是 非 常 可 观 的 。 现 有 技 术 方 案 中 ．通 过 在 接 入 交 换 机 提 取 合 法 用 户 的 Ｉ — Ｐ ＡＲ Ｐ协 议 是 建 立 在 信 任 局 域 网 内所 有 节 点 的 基 础 上 的 ． 运 Ｍ Ｃ地 址 及 作 用 端 口 ． 合 法 用 户 配 置 静 态 Ａ Ｐ检测 表 项 并 设 Ａ 为 Ｒ 行 Ａ ｕ 协 议 的 主 机 或设 备不 会 检 查 自 己是 否 发 过 请 求 报 文 ． ｆＰ 也 置 到 交换 机 的报 文特 征 数 据 库 中来 实 现 防 Ａ Ｐ攻 击 。 网络 部 Ｒ 从 不 管 是 否 是 合 法 的应 答 ． 只要 收到 目标 Ｍ Ｃ 是 自己 的 Ａ Ｐ应 署 看 ．一 个 主机 一 旦 接 人 到 接 入 交 换 机 的某 一 个 端 口并 进 行 了 Ａ Ｒ 答 报 文 或 Ａ Ｐ广 播 报 文 （ 括 Ａ Ｐ请 求 和 Ａ Ｐ应 答 ） 都 会 接 合 法 性 判 断 （ ： 过 ＤＯＴ Ｘ 认 证 或 者 通 过 ＤＨＣ Ｒ 包 Ｒ Ｒ ． 如 通 １ Ｐ分 配 了 Ｉ ． Ｐ） 受 并 缓 存 ． 为 Ａ Ｐ欺 骗 攻 击 提 供 了 可 能 。 这 Ｒ 则 接 人 交 换 机 的其 他 端 口便 不 可 能 接 收 到 源 ＭＡ Ｃ为 该 主 机 网络 故 障 。本 文 介 绍 了一 种 防 Ａ Ｐ攻 击 的 实现 方 案 以及 相 应 的技 术 ， １ 但 １ Ｒ 包括 用 户信 息提 取 ，
合 法袁 项 生 成 ， 测 过 滤 等 方 面 的 内容 。 检
【 关键词 】 防攻击、 Ｒ 、 Ｐ绑定 ： Ａ Ｐ ＡＲ
１０ ４
福
建
电
脑
２１ ０ ０年第 ６期
一
种防 Ａ Ｐ攻 击方案 Ｒ
邱 根 生
（星 网 锐 捷 网络 有 限 公 司研 究 院 福 建 福 州 ３ ０ ０ ） ５０ ２
【 摘
要】 ：ＡＲ Ｐ技 术用作 网络地 址到物理地 址的解析 ， 作为 Ｉｖ Ｐ ４网络基 础协议 ， 用户接入 ， 由方 面起 着举足轻 重 在 路
以 通 过 Ａ Ｐ欺 骗 窃 取 用 户重 要 数 据 等 ． 因 此 防 范 Ａ Ｐ欺 骗 是 添加 两 条 防 Ａ Ｐ攻 击 表 项 ： 条 用 于 丢 弃 全 局所 有 端 口下 的 发 Ｒ Ｒ Ｒ 一 送 方 ＭＡ Ｃ为 合 法 用 户 ＭＡ 的 Ａ Ｐ报 文 ． 一 条 用 于 丢 弃 全 局 Ｃ Ｒ 另 局 域 网 部署 时 必须 考 虑 的 重 要 问 题
１第 一 类 方 案 ． 示：
交换机 通过解析认证客户端 和认证服务器 之问认证信 息 ． 提 取 并 记 录认 证 用 户 对 应 的 Ｉ — Ａ 地 址 信 息 及 对 应 的 端 口 ． Ｐ Ｍ Ｃ 将 这 个 Ｉ — Ｃ地 址 配 置 为 不 可 被 动 态 改 写 的 静 态 Ａ Ｐ检 测 Ｐ ＭＡ Ｒ
目前 针 对 Ａ Ｐ欺 骗 攻 击 的 问 题 ． 有 技 术 中 的解 决方 案 主 所 有 端 口下 的发 送 方 Ｉ 合 法 用 户 Ｉ Ｒ 现 Ｐ为 Ｐ的 Ａ Ｐ报 文 ．这 两 条 表 Ｒ 要有以下两类 ： 项 的作 用 优 先 级 低 于 合 法 用 户 的 静 态 Ａ Ｐ检 测 表 项 ． 下 图 所 Ｒ 如