1 ARP協(xié)議與ARP欺騙

ARP欺騙，一個(gè)讓我們耳熟能詳?shù)木W(wǎng)絡(luò)安全事件，普遍的存在于校園網(wǎng)、企業(yè)網(wǎng)等網(wǎng)絡(luò)環(huán)境中，給我們的工作、學(xué)習(xí)和生活帶來(lái)了很大的不變，輕則網(wǎng)絡(luò)變慢、時(shí)斷時(shí)續(xù)，重則直接無(wú)法上網(wǎng)、重要信息被竊取，可以說(shuō)，ARP欺騙是網(wǎng)絡(luò)的一塊頑疾。分析ARP欺騙，就不得不研究一下ARP協(xié)議，因?yàn)檫@種攻擊行為正是利用了ARP協(xié)議本身的漏洞來(lái)實(shí)現(xiàn)的。
     1.1 ARP協(xié)議

ARP協(xié)議是“Address Resolution Protocol”（地址解析協(xié)議）的縮寫(xiě)，它的作用，就是將IP地址轉(zhuǎn)換為MAC地址。在局域網(wǎng)中，網(wǎng)絡(luò)中實(shí)際傳輸?shù)氖?ldquo;數(shù)據(jù)幀”，數(shù)據(jù)幀如果要到達(dá)目的地，就必須知道對(duì)方的MAC地址，它不認(rèn)IP的。但這個(gè)目標(biāo)MAC地址是如何獲得的呢？它就是通過(guò)ARP協(xié)議獲得的。所謂“地址解析”就是主機(jī)在發(fā)送幀前將目標(biāo)IP地址轉(zhuǎn)換成目標(biāo)MAC地址的過(guò)程。ARP協(xié)議的基本功能就是通過(guò)目標(biāo)設(shè)備的IP地址，查詢目標(biāo)設(shè)備的MAC地址，以保證通信的順利進(jìn)行。 

每臺(tái)安裝有TCP/IP協(xié)議的電腦里都有一個(gè)ARP緩存表，表里的IP地址與MAC地址是一一對(duì)應(yīng)的，例如下表所示。
                          表1 ARP緩存表舉例 

我們以主機(jī)A（192.168.16.1）向主機(jī)B（192.168.16.2）發(fā)送數(shù)據(jù)為例。當(dāng)發(fā)送數(shù)據(jù)時(shí)，主機(jī)A會(huì)在自己的ARP緩存表中尋找是否有目標(biāo)IP地址。如果找到了，也就知道了目標(biāo)MAC地址，直接把目標(biāo)MAC地址寫(xiě)入幀里面發(fā)送就可以了；如果在ARP緩存表中沒(méi)有找到相對(duì)應(yīng)的IP地址，主機(jī)A就會(huì)在網(wǎng)絡(luò)上發(fā)送一個(gè)廣播，目標(biāo)MAC地址是“FF.FF.FF.FF.FF.FF”，這表示向同一網(wǎng)段內(nèi)的所有主機(jī)發(fā)出這樣的詢問(wèn)：“192.168.16.2的MAC地址是什么？”網(wǎng)絡(luò)上其他主機(jī)并不響應(yīng)ARP詢問(wèn)，只有主機(jī)B接收到這個(gè)幀時(shí)，才向主機(jī)A做出這樣的回應(yīng)：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。這樣，主機(jī)A就知道了主機(jī)B的MAC地址，它就可以向主機(jī)B發(fā)送信息了。同時(shí)它還更新了自己的ARP緩存表，下次再向主機(jī)B發(fā)送信息時(shí)，直接從ARP緩存表里查找就可以了。 

ARP緩存表采用了老化機(jī)制，在一段時(shí)間內(nèi)如果表中的某一行沒(méi)有使用，就會(huì)被刪除，這樣可以大大減少ARP緩存表的長(zhǎng)度，加快查詢速度。 

以上就是ARP協(xié)議的作用以及其工作過(guò)程，看來(lái)是很簡(jiǎn)單的，也正因?yàn)槠浜?jiǎn)單的原理，沒(méi)有其他措施的保障，也就使得ARP欺騙產(chǎn)生了。下面我們來(lái)看看ARP欺騙到底是怎么回事。

1.2 ARP欺騙原理   

為什么會(huì)有ARP欺騙，這還要從ARP協(xié)議說(shuō)起，前面我們介紹了，當(dāng)源主機(jī)不知道目標(biāo)主機(jī)的MAC地址的話，就會(huì)發(fā)起廣播詢問(wèn)所有主機(jī)，然后目標(biāo)主機(jī)回復(fù)它，告知其正確的MAC地址，漏洞就在這里，如果一個(gè)有不軌圖謀的主機(jī)想收到源主機(jī)發(fā)來(lái)的信息（可能是用戶名、密碼、銀行賬號(hào)之類的信息），那么它只需也向源主機(jī)回復(fù)一下，響應(yīng)的IP地址沒(méi)錯(cuò)，但MAC地址卻變成了發(fā)起欺騙的主機(jī)的，這樣，信息就發(fā)到它那里去了（前面說(shuō)了，數(shù)據(jù)幀只認(rèn)MAC地址）。這是一種欺騙的方式，還有一種方式，是利用了“免費(fèi)ARP”的機(jī)制。所謂免費(fèi)ARP就是不需要?jiǎng)e人問(wèn)，一上來(lái)就先告訴別人，我的IP地址是多少，我的MAC地址是多少，別的主機(jī)無(wú)需廣播，就已經(jīng)知道了該主機(jī)的IP和MAC，下次需要發(fā)到這個(gè)IP的時(shí)候，直接發(fā)就行了。既然是主動(dòng)發(fā)起的，就可以被別有用心的人利用了，用一個(gè)假冒的IP地址（可能是網(wǎng)關(guān)的或者重要服務(wù)器的地址）加上自己的MAC出去騙別人，就把重要的信息都騙到這里來(lái)了。下面我們來(lái)看看ARP欺騙的具體操作過(guò)程。

1.2.1 局域網(wǎng)主機(jī)冒充網(wǎng)關(guān)進(jìn)行ARP欺騙   

欺騙過(guò)程：如下圖所示， PC A 跟網(wǎng)關(guān)GW C 通訊時(shí)，要知道GW 的MAC地址，如果PC B 假冒GW 告訴PC A , GW的mac地址是 MAC B； 或者干脆告訴PC A，GW的mac地址是 MAC X, 那么，PC A就受騙了，PC A 的數(shù)據(jù)就到不了網(wǎng)關(guān)，造成斷線。 

1.2.2 局域網(wǎng)主機(jī)冒充其他主機(jī)欺騙網(wǎng)關(guān)
       欺騙過(guò)程：網(wǎng)絡(luò)通訊是一個(gè)雙向的過(guò)程，也就是說(shuō)，只有保證PC A -> Gw C以及Gw C -> PC A 都沒(méi)問(wèn)題，才能確保正常通訊。假如，PC B冒充主機(jī)PC A，告訴GW C：PC A的MAC是MAC B，網(wǎng)關(guān)就受騙了，那么，PC A到GW C沒(méi)有問(wèn)題，可是，GW C到不了PC A，因而造成網(wǎng)絡(luò)斷線。
       以上兩種欺騙，尤其是第二種類型的欺騙，現(xiàn)在更為常見(jiàn)。從本質(zhì)上說(shuō)，同一局域網(wǎng)內(nèi)（這里指在同一網(wǎng)段）的任何兩個(gè)點(diǎn)的通訊都可能被欺騙，無(wú)論是主機(jī)到網(wǎng)關(guān)，網(wǎng)關(guān)到主機(jī)，主機(jī)到服務(wù)器，服務(wù)器到主機(jī)，還有主機(jī)之間都是一樣，都可能產(chǎn)生進(jìn)行ARP欺騙，欺騙本質(zhì)都是一樣。
1.2.3 其他欺騙類型
       1. 主機(jī)冒用其它主機(jī)，欺騙其它主機(jī)的方式：如主機(jī)A冒用主機(jī)B的Mac，欺騙主機(jī)C，以達(dá)到監(jiān)聽(tīng)主機(jī)B和主機(jī)C的目的，并且導(dǎo)致主機(jī)B到主機(jī)C之間的網(wǎng)絡(luò)連接中斷。
       2. 外網(wǎng)欺騙：外網(wǎng)冒用路由器A的MAC，欺騙更上一級(jí)的路由器B，導(dǎo)致更上一級(jí)的路由器被騙，將內(nèi)網(wǎng)信息全部轉(zhuǎn)發(fā)給外網(wǎng)惡意主機(jī)。

2 防御ARP欺騙的解決方案概覽

面多ARP欺騙帶來(lái)的危害日益升級(jí)，越來(lái)越多的網(wǎng)絡(luò)深受其害，在網(wǎng)絡(luò)安全界也涌現(xiàn)出了多種ARP欺騙的防御方案，這里簡(jiǎn)單加以總結(jié)。  

2.1 接入交換機(jī)/網(wǎng)關(guān)手動(dòng)綁定

       目前主流的安全接入交換機(jī)/網(wǎng)關(guān)都具有IP、MAC綁定功能，像銳捷網(wǎng)絡(luò)的安全接入交換機(jī)甚至提供了6元素（IP、MAC、VLAN ID、交換機(jī)端口號(hào)、用戶名、密碼）的綁定，可以通過(guò)在接入交換機(jī)上將下聯(lián)每臺(tái)主機(jī)的IP和MAC地址綁定起來(lái)，將不符合IP、Mac綁定信息的報(bào)文全部丟棄，這樣有效的防住了內(nèi)網(wǎng)用戶冒充網(wǎng)關(guān)或其他主機(jī)來(lái)欺騙內(nèi)網(wǎng)其他用戶的目的。
   

這種方法的局限性：
        配置工作量大，每臺(tái)交換機(jī)下所連的所有用戶都要一一手動(dòng)綁定，對(duì)于交換機(jī)下聯(lián)客戶機(jī)變換頻繁的場(chǎng)合，基本無(wú)可用性；
        無(wú)法防御來(lái)自外部的ARP欺騙，只對(duì)本交換機(jī)所接用戶負(fù)責(zé)；
        無(wú)法適用于采用動(dòng)態(tài)IP的場(chǎng)合；
        接入交換機(jī)/網(wǎng)關(guān)手動(dòng)綁定的方法，是現(xiàn)在采用的比較多的手段，但由于其以上的局限性，所以要配合其他手段才能完善的防御ARP欺騙。

2.2 主機(jī)端手動(dòng)綁定

通過(guò)Windows自帶的ARP-S命令，可以將特定的IP地址和Mac地址進(jìn)行綁定，實(shí)現(xiàn)一定的ARP欺騙防御。
        這種方法的局限性：
        配置麻煩，主機(jī)需要通信的目標(biāo)很多，不可能一個(gè)一個(gè)都綁起來(lái)。
        容易失效，這種方法進(jìn)行的綁定，一拔掉網(wǎng)線或者關(guān)機(jī)、注銷就全部失效了，如果想繼續(xù)使用，就需要重新綁定。
        只能進(jìn)行主機(jī)端的防御，如果網(wǎng)關(guān)遭欺騙則無(wú)能為力。
        跟接入交換機(jī)綁定一樣，主機(jī)端手動(dòng)綁定也是只能實(shí)現(xiàn)部分防御，需要與其他方法結(jié)合來(lái)完善。

 2.3 網(wǎng)關(guān)定期發(fā)送免費(fèi)ARP
   

這是一種抑制的方法，因?yàn)锳RP表項(xiàng)有老化期，經(jīng)過(guò)一段時(shí)間就需要重新更新，所以通過(guò)網(wǎng)關(guān)定期發(fā)送免費(fèi)ARP，不時(shí)的“提醒”主機(jī)，真正的網(wǎng)關(guān)在這里，來(lái)防止偽裝成網(wǎng)關(guān)的ARP欺騙。
       這種方法的局限性：
       網(wǎng)關(guān)定期發(fā)送免費(fèi)ARP，對(duì)于網(wǎng)關(guān)設(shè)備的性能提出了很高的要求，同時(shí)，大量的免費(fèi)ARP報(bào)文無(wú)疑也大大占用了網(wǎng)絡(luò)的帶寬；
       由于很多ARP欺騙也是通過(guò)頻繁大量發(fā)送免費(fèi)ARP報(bào)文來(lái)實(shí)現(xiàn)的，所以如果網(wǎng)關(guān)這么做，欺騙只需要將發(fā)送的頻率加大幾倍就依然可以欺騙成功。

2.4 主機(jī)安裝ARP防御軟件

目前這類軟件很多，其基本原理與上一個(gè)方法相同，就是每個(gè)主機(jī)都不停的發(fā)送免費(fèi)ARP廣播，來(lái)告訴別人自己的IP和MAC的綁定關(guān)系，以達(dá)到抑制欺騙ARP報(bào)文的目的。
        這種方法的局限性：
        同上一個(gè)方法一樣，這種方法也是通過(guò)耗費(fèi)大量網(wǎng)絡(luò)帶寬來(lái)實(shí)現(xiàn)的，所以在許多主機(jī)安裝了ARP防火墻的網(wǎng)絡(luò)中，網(wǎng)絡(luò)性能往往都會(huì)非常低下，因?yàn)榇罅康膸挾急幻赓M(fèi)ARP報(bào)文占用了。
        以上就是目前常見(jiàn)的幾種防范ARP欺騙的解決方案，我們可以看到，每個(gè)方案各有利弊，都無(wú)法完善方便的防住ARP欺騙。只有通過(guò)多種手段的結(jié)合，配合完善的內(nèi)網(wǎng)管理機(jī)制，才能實(shí)現(xiàn)ARP欺騙的真正防御。
 

3 銳捷網(wǎng)絡(luò)三重立體ARP防御解決方案

       ARP欺騙攻擊存在的原因，究其根本在于ARP協(xié)議本身的不完善，通信雙方的交互流程缺乏一個(gè)授信機(jī)制，使得非法的攻擊者能夠介入到正常的ARP交互中進(jìn)行欺騙。要從根本上解決ARP欺騙的問(wèn)題，必須要在局域網(wǎng)內(nèi)的通信雙方之間建立起一個(gè)可信任的驗(yàn)證體系。
       銳捷網(wǎng)絡(luò)GSN全局安全解決方案中特有的“ARP三重立體防御體系”，正是為了應(yīng)對(duì)現(xiàn)在日益嚴(yán)重的ARP欺騙現(xiàn)象而制定的，整個(gè)解決方案遵循以下思路進(jìn)行：

3.1 方案原理
        用戶身份合法性驗(yàn)證
        通過(guò)部署GSN解決方案，實(shí)行基于IEEE 802.1X協(xié)議的身份認(rèn)證系統(tǒng)，所有用戶都必須要經(jīng)過(guò)統(tǒng)一集中的身份鑒權(quán)認(rèn)證方能允許接入網(wǎng)絡(luò)。統(tǒng)一的身份認(rèn)證系統(tǒng)確保了所有網(wǎng)絡(luò)中的在線用戶都有合法的身份信息，并且利用802.1X協(xié)議基于MAC地址的邏輯端口認(rèn)證特性，保障了認(rèn)證系統(tǒng)的中央服務(wù)端能夠在用戶認(rèn)證過(guò)程中獲取到用戶真實(shí)的IP-MAC對(duì)應(yīng)信息。
        確保真實(shí)ARP信息來(lái)源
        防治ARP欺騙的最重要一個(gè)環(huán)節(jié)是確保ARP信息的真實(shí)可靠。對(duì)于局域網(wǎng)通信最主要的兩個(gè)對(duì)象：網(wǎng)關(guān)和用戶來(lái)說(shuō)，網(wǎng)關(guān)的IP-MAC對(duì)應(yīng)關(guān)系是不會(huì)輕易變更的；而通過(guò)在全網(wǎng)實(shí)施的入網(wǎng)身份認(rèn)證系統(tǒng)，能夠確保在用戶每次上線時(shí)的認(rèn)證過(guò)程中都能提交真實(shí)的IP-MAC信息。網(wǎng)絡(luò)中各元素的真實(shí)ARP信息有了可靠的來(lái)源保障。
        中立的第三方ARP授信體系
        前文已經(jīng)談到，要從根本上防治ARP欺騙，必須在通信雙方之間建立可靠的驗(yàn)證體系。而由于ARP協(xié)議本身的缺陷性，不管是通信雙方的網(wǎng)關(guān)或是主機(jī)都無(wú)法勝任對(duì)ARP信息的可靠性進(jìn)行驗(yàn)證的角色，需要通過(guò)中立的第三方系統(tǒng)把控ARP協(xié)議的通信過(guò)程。GSN系統(tǒng)能夠?qū)υ诰€用戶的身份信息進(jìn)行統(tǒng)一的管理，非常適合進(jìn)行ARP信息的授權(quán)管理。
        建立可信任ARP（Trusted ARP）機(jī)制
        可信任ARP機(jī)制用于在局域網(wǎng)通信的雙方之間進(jìn)行可靠的ARP信息同步，具體到各個(gè)不同的網(wǎng)絡(luò)元素之間的同步過(guò)程，可以分為以下兩種操作：
        主機(jī)ARP靜態(tài)綁定：在客戶端主機(jī)進(jìn)行網(wǎng)關(guān)的ARP靜態(tài)綁定。當(dāng)用戶認(rèn)證上線時(shí),認(rèn)證服務(wù)端在本地保存的網(wǎng)關(guān)IP-MAC對(duì)應(yīng)關(guān)系表中查找用戶所屬網(wǎng)關(guān)，并將該用戶所對(duì)應(yīng)的網(wǎng)關(guān)IP和MAC地址進(jìn)行下發(fā)，由802.1X認(rèn)證客戶端程序在用戶的主機(jī)端進(jìn)行網(wǎng)關(guān)MAC和IP的ARP靜態(tài)綁定。
        客戶端在認(rèn)證成功后進(jìn)行ARP靜態(tài)綁定,然后定時(shí)進(jìn)行ARP靜態(tài)綁定是否被更改的檢測(cè)，如果被更改,則重新進(jìn)行綁定，以防止一些木馬程序以合法的方式對(duì)ARP靜態(tài)綁定進(jìn)行的更改,用戶下線時(shí)刪除主機(jī)的網(wǎng)關(guān)ARP靜態(tài)綁定。
        網(wǎng)關(guān)可信任ARP綁定：當(dāng)用戶認(rèn)證上線時(shí)，認(rèn)證服務(wù)端通過(guò)接入交換機(jī)獲取用戶真實(shí)的IP-MAC關(guān)聯(lián)信息，并根據(jù)用戶的網(wǎng)關(guān)信息，將用戶相應(yīng)的ARP表項(xiàng)在網(wǎng)關(guān)進(jìn)行主機(jī)的IP和MAC的ARP靜態(tài)綁定.該方式同主機(jī)ARP靜態(tài)綁定相結(jié)合,能夠達(dá)到雙綁定的效果。

在網(wǎng)關(guān)設(shè)備上增加可信ARP表項(xiàng) 

銳捷網(wǎng)絡(luò)S37系列等智能三層接入/匯聚交換機(jī)能夠支持可信任ARP表項(xiàng)功能。可信任ARP作為一類特殊ARP，添加在交換機(jī)端的ARP表中?？尚湃蜛RP同時(shí)具有靜態(tài)ARP和動(dòng)態(tài)ARP兩者的特征，其優(yōu)先級(jí)高于動(dòng)態(tài)ARP表項(xiàng)、并且低于靜態(tài)ARP表項(xiàng)?？尚湃蜛RP具有類似于動(dòng)態(tài)ARP的老化機(jī)制――通過(guò)記錄和刷新每個(gè)表項(xiàng)的老化時(shí)間來(lái)判斷該表項(xiàng)是否需要老化?？尚湃蜛RP具有靜態(tài)ARP的相關(guān)特征，即不被動(dòng)態(tài)ARP所覆蓋。 

可信任ARP歸類為動(dòng)態(tài)ARP，因此對(duì)于ARP的相關(guān)功能模塊，該可信任ARP將被視為動(dòng)態(tài)ARP。使用這種方式可避免可信任ARP對(duì)原有ARP相關(guān)模塊的影響。同時(shí)，由于靜態(tài)ARP優(yōu)先級(jí)高于可信任ARP，因此用戶手動(dòng)配置的靜態(tài)ARP可以覆蓋可信任ARP。 

因此，在實(shí)施了可信任ARP功能之后，對(duì)于網(wǎng)絡(luò)管理員來(lái)說(shuō)，所有操作完全都是透明的，不會(huì)對(duì)網(wǎng)絡(luò)管理員的原有網(wǎng)絡(luò)管理產(chǎn)生任何影響，因?yàn)閷?duì)于原有的網(wǎng)絡(luò)來(lái)說(shuō)，可信任ARP就是動(dòng)態(tài)ARP。只有在ARP更新這個(gè)地方有了輕微了變化，而且所有的一切動(dòng)作都是后臺(tái)進(jìn)行的。 

3.2 方式實(shí)現(xiàn)過(guò)程及效果 

3.2.1 第一重，網(wǎng)關(guān)防御 

網(wǎng)關(guān)防御的實(shí)現(xiàn)過(guò)程如下：
        SMP學(xué)習(xí)已通過(guò)認(rèn)證的合法用戶的IP-MAC對(duì)應(yīng)關(guān)系。
        SMP將用戶的ARP信息通知相應(yīng)網(wǎng)關(guān)。
        網(wǎng)關(guān)生成對(duì)應(yīng)用戶的可信任ARP表項(xiàng)。

GSN網(wǎng)關(guān)防御過(guò)程如下： 

攻擊者冒充用戶IP對(duì)網(wǎng)關(guān)進(jìn)行欺騙。

真正的用戶已經(jīng)在網(wǎng)關(guān)的可信任ARP表項(xiàng)中，欺騙行為失敗。

3.2.2 第二重，客戶端防御

用戶端防御的實(shí)現(xiàn)方法如下：
        在SMP上設(shè)置網(wǎng)關(guān)的正確IP－MAC對(duì)應(yīng)信息。
        用戶認(rèn)證通過(guò)，SMP將網(wǎng)關(guān)的ARP信息下傳至SU。
        SU靜態(tài)綁定網(wǎng)關(guān)的ARP。

用戶端防御的實(shí)現(xiàn)過(guò)程如下：
        攻擊者冒充網(wǎng)關(guān)欺騙合法用戶。
        用戶已經(jīng)靜態(tài)綁定網(wǎng)關(guān)地址，欺騙攻擊無(wú)效。

3.2.3 第三重，交換機(jī)非法報(bào)文過(guò)濾 

交換機(jī)非法報(bào)文過(guò)濾，是通過(guò)銳捷網(wǎng)絡(luò)安全智能交換機(jī)的安全功能來(lái)實(shí)現(xiàn)的，具體實(shí)現(xiàn)方法如下：
        用戶認(rèn)證通過(guò)后，交換機(jī)會(huì)在接入端口上綁定用戶的IP－MAC對(duì)應(yīng)信息。
        交換機(jī)對(duì)報(bào)文的源地址進(jìn)行檢查，對(duì)非法的攻擊報(bào)文一律丟棄處理。
        該操作不占用交換機(jī)CPU資源，直接由端口芯片處理。

交換機(jī)非法報(bào)文過(guò)濾實(shí)現(xiàn)過(guò)程如下：
         攻擊者偽造源IP和MAC地址發(fā)起攻擊。
         報(bào)文不符合綁定規(guī)則，被交換機(jī)丟棄。

4 方案總結(jié) 

通過(guò)銳捷網(wǎng)絡(luò)GSN解決方案中的“ARP三重立體防御體系”，解決了ARP欺騙中的網(wǎng)關(guān)型欺騙，中間人欺騙以及ARP泛洪攻擊，在可能發(fā)生ARP請(qǐng)求和響應(yīng)的所有環(huán)節(jié)，都加以防范，有效彌補(bǔ)了由于ARP協(xié)議本身的缺陷所帶來(lái)的漏洞，解決了困擾廣大網(wǎng)絡(luò)管理員的ARP欺騙問(wèn)題，給我們的局域網(wǎng)帶來(lái)更加健康和諧的網(wǎng)絡(luò)環(huán)境。