前言

ARP（Address Resolution Protocol，地址解析協(xié)議），目的是實(shí)現(xiàn)IP地址到MAC地址的映射。而在TCP/IP協(xié)議棧中，最不安全的協(xié)議，可能非ARP莫屬了。我們經(jīng)常聽到的這些術(shù)語，包括"網(wǎng)絡(luò)掃描"、"內(nèi)網(wǎng)滲透"、"中間人攔截"、"局域網(wǎng)流控"、"流量欺騙"，基本都跟ARP脫不了干系。本文重點(diǎn)針對(duì)在IPv4環(huán)境下的ARP防御問題以及解決方案進(jìn)行具體闡述。主要包括：ARP欺騙攻擊以及解決方案、ARP泛洪攻擊以及解決方案和實(shí)際部署時(shí)的建議。

 

ARP攻擊介紹

ARP欺騙攻擊

• ARP欺騙的原理

正常的ARP通訊過程只需廣播ARP Request和單播ARP Reply兩個(gè)過程，簡單的說就是一問一答。而ARP的欺騙就是通過偽造請(qǐng)求或者應(yīng)答報(bào)文形成的欺騙。

• ARP欺騙攻擊的分類

根據(jù)ARP欺騙者與被欺騙者之間角色關(guān)系的不同，通?？梢园袮RP欺騙攻擊分為如下兩種，如圖1所示：

主機(jī)型ARP欺騙：欺騙者主機(jī)冒充網(wǎng)關(guān)設(shè)備對(duì)其他主機(jī)進(jìn)行欺騙。

網(wǎng)關(guān)型ARP欺騙：欺騙者主機(jī)冒充其他主機(jī)對(duì)網(wǎng)關(guān)設(shè)備進(jìn)行欺騙。

 

▲圖1 ARP欺騙分類

 

ARP泛洪攻擊

• ARP泛洪攻擊的原理

ARP泛洪攻擊，也叫拒絕服務(wù)攻擊（Denial of Service），可能導(dǎo)致大量消耗交換機(jī)內(nèi)存、表項(xiàng)或者其它資源，使系統(tǒng)無法繼續(xù)服務(wù)。大量的報(bào)文砸向CPU，占用了整個(gè)送CPU報(bào)文的帶寬，導(dǎo)致正常的協(xié)議報(bào)文和管理報(bào)文無法被CPU處理，帶來協(xié)議震蕩或者設(shè)備無法管理，進(jìn)而導(dǎo)致數(shù)據(jù)面轉(zhuǎn)發(fā)受影響，并引起整個(gè)網(wǎng)絡(luò)無法正常運(yùn)行。

 

ARP欺騙攻擊解決方案

在介紹具體解決方案之前，我們先了解下防ARP欺騙的核心功能：ARP-check（ARP報(bào)文合規(guī)校驗(yàn)），校驗(yàn)ARP報(bào)文的源IP與安全地址中的IP是否一致，校驗(yàn)ARP報(bào)文的源MAC與安全地址中的MAC是否一致，在兩項(xiàng)校驗(yàn)均合規(guī)的情況下對(duì)報(bào)文進(jìn)行轉(zhuǎn)發(fā)。而安全地址的生成，我們可以通過手工靜態(tài)綁定的方式以及DHCP Snooping監(jiān)測的方式獲取，具體流程如圖2：

 

▲圖2 ARP-check流程

 

以上是硬件檢測的流程，除此之外還有一種軟件校驗(yàn)的方式，就是將端口的ARP請(qǐng)求直接送往CPU，而CPU依據(jù)DHCP Snooping的表項(xiàng)進(jìn)行合規(guī)檢查。

 

端口安全 + ARP-check方案

應(yīng)用場景：此方案適用于用戶IP地址為靜態(tài)分配的場景，并且需要明確知道每個(gè)用戶所連接交換機(jī)端口。

功能簡介：通過手工的方式將IP與MAC的對(duì)應(yīng)關(guān)系配置到交換機(jī)的端口，并開啟ARP合規(guī)檢查。具體配置如圖3：

 

▲圖3 端口安全+ARP-check方案配置

 

方案的優(yōu)勢(shì)：控制非常嚴(yán)格，應(yīng)用硬件方式直接校驗(yàn)ARP報(bào)文，準(zhǔn)確，無需消耗CPU。

缺點(diǎn)的劣勢(shì)：端口安全必須收集并配置所有用戶IP和MAC信息，較為繁雜，不夠靈活，不適合于用戶需要頻繁遷移端口的環(huán)境。

 

全局IP&MAC綁定+ARP-check方案

應(yīng)用場景：此方案適用于用戶IP地址為靜態(tài)分配的場景，但管理員不需要知道每個(gè)用戶所連接的交換機(jī)端口，因此適用于用戶分布情況不確定，或者下聯(lián)用戶存在隨意移動(dòng)端口的場景中。

功能簡介：通過手工方式將IP與MAC的對(duì)應(yīng)關(guān)系配置到交換機(jī)全局，并在交換機(jī)的端口下開啟ARP合規(guī)檢查。具體配置如圖4：

 

▲圖4 全局IP+MAC綁定+ARP-check方案配置

 

方案的優(yōu)點(diǎn)：控制較為嚴(yán)格，允許用戶在本交換機(jī)內(nèi)部進(jìn)行端口遷移具備一定的靈活性，應(yīng)用硬件方式直接校驗(yàn)ARP報(bào)文，準(zhǔn)確，無需消耗CPU。

方案的缺點(diǎn)：端口安全必須收集并配置所有用戶IP和MAC信息，較為繁雜。

 

DAI方案

應(yīng)用場景：DAI（Dynamic ARP Inspection）方案適合于接入用戶使用DHCP動(dòng)態(tài)獲取IP地址環(huán)境，同時(shí)要求部署DHCP Snooping功能。

功能簡介：提取DHCP Snooping表中的IP+MAC信息，通過CPU過濾源MAC/源IP不在Snooping表中的ARP報(bào)文，具體流程如圖5：

 

▲圖5 DAI方案ARP合規(guī)檢查流程圖

 

具體配置見圖6：

 

▲圖6 DAI方案配置

 

方案的優(yōu)點(diǎn)：配置維護(hù)簡單，無需手工配置每個(gè)用戶的IP&MAC綁定。

方案的缺點(diǎn)：由于用戶的ARP報(bào)文送CPU檢查，檢查的來源是DHCP Snooping所記錄的軟件表項(xiàng)，因此會(huì)額外消耗設(shè)備的CPU資源。

 

IP Source Guard + ARP-check方案

應(yīng)用場景：此方案適合于接入用戶使用DHCP動(dòng)態(tài)獲取IP地址環(huán)境，同時(shí)要求部署DHCP Snooping功能 。

功能簡介：提取DHCP Snooping表中正確的IP與MAC，通過IP Source Guard將DHCP Snooping表寫入交換機(jī)硬件表項(xiàng)，使用ARP-check功能校驗(yàn)ARP報(bào)文的合法性，具體流程如圖7：

 

▲圖7 IP Source Guard + ARP-check方案流程圖

 

具體配置如圖8：

 

▲圖8 IP Source Guard + ARP-check方案配置

 

方案的優(yōu)點(diǎn)：配置維護(hù)簡單，和DAI相比，ARP-check屬于硬件芯片檢查安全表項(xiàng)，不消耗CPU資源。

方案的缺點(diǎn)：對(duì)交換機(jī)的安全功能要求較高，需要同時(shí)支持DHCP Snooping、IP Source Guard、ARP-check這三種功能。跟DAI相比，會(huì)消耗硬件資源表項(xiàng)，當(dāng)交換機(jī)使用較多安全功能時(shí)，比如ACL，且交換機(jī)下接用戶數(shù)過多，可能會(huì)導(dǎo)致設(shè)備硬件安全資源不足，需要適當(dāng)控制單臺(tái)交換機(jī)的帶機(jī)數(shù)。

設(shè)備硬件資源不足時(shí)，會(huì)提示類似這樣的log：

%SECURITY-3-TCAM_RESOURCE_LIMIT: TCAM resource is temporary not available.

 

ARP欺騙解決方案對(duì)比分析

 

▲表1 ARP欺騙解決方案對(duì)比分析表

 

如表1所示，當(dāng)網(wǎng)絡(luò)內(nèi)采用DHCP方式動(dòng)態(tài)獲取IP，那么推薦采用IP Source Guard + ARP-check方案進(jìn)行防ARP欺騙攻擊部署，對(duì)于部分手工配置的IP地址需要網(wǎng)絡(luò)訪問時(shí)，例如打印機(jī)，可以結(jié)合端口或者全局IP&MAC手動(dòng)綁定的方式+ ARP-check解決。

 

ARP泛洪攻擊解決方案

 

CPP+NFPP解決ARP泛洪攻擊

由于ARP報(bào)文的解析均要送往CPU進(jìn)行解析，因此我們可以通過限制ARP送往CPU的報(bào)文速率實(shí)現(xiàn)對(duì)CPU的保護(hù)

CPP（CPU Protect Policy，CPU保護(hù)策略）是一種設(shè)備自身用來保護(hù)CPU的安全防護(hù)功能，用于避免網(wǎng)絡(luò)設(shè)備的CPU收到網(wǎng)絡(luò)上不必要和具有惡意攻擊目的的數(shù)據(jù)報(bào)文，通過將發(fā)往CPU的報(bào)文識(shí)別分類、劃分隊(duì)列、限速、調(diào)度、流量整形等處理后，送達(dá)CPU，保證網(wǎng)絡(luò)設(shè)備的CPU即使在一個(gè)充斥著網(wǎng)絡(luò)攻擊的環(huán)境中仍可以對(duì)正常進(jìn)行協(xié)議報(bào)文處理，確保網(wǎng)絡(luò)的穩(wěn)定運(yùn)行。如圖9所示：

 

▲圖9 CPP工作流程圖

 

當(dāng)然CPP本身也是有局限性的，例如僅針對(duì)報(bào)文進(jìn)行限速，無法從根本解決問題，并且沒有相關(guān)的日志產(chǎn)生，導(dǎo)致出現(xiàn)問題后無法定位故障。針對(duì)CPP的局限，一個(gè)全新的系統(tǒng)架構(gòu)出現(xiàn)，即：NFPP(Network Foundation Protection Policy，網(wǎng)絡(luò)基礎(chǔ)保護(hù)策略)。

對(duì)比于CPP，NFPP增加了安全策略，如（隔離策略，攻擊檢測策略），并且能夠在觸發(fā)安全策略后以syslog或者trap的方式上報(bào)服務(wù)器，具體流程如圖10所示：

 

▲圖10 NFPP簡化流程圖

 

在NFPP框架內(nèi)隔離策略，可從源頭屏蔽攻擊，并且會(huì)產(chǎn)生相關(guān)的log信息，從而幫助網(wǎng)絡(luò)管理員定位問題。在NFPP框架內(nèi)，可實(shí)現(xiàn)對(duì)于ARP報(bào)文的防護(hù)（ARP-Guard）、ND報(bào)文的防護(hù)、DHCP報(bào)文防護(hù)等等，本文將針對(duì)ARP防護(hù)進(jìn)行進(jìn)一步詳細(xì)介紹。

 

ARP防護(hù)（ARP-Guard）：

ARP-Guard功能主要目標(biāo)為保護(hù)設(shè)備CPU，防止大量ARP攻擊報(bào)文送CPU導(dǎo)致CPU利用率升高，所以ARP-Guard實(shí)現(xiàn)了對(duì)送往CPU的ARP報(bào)文的限速和攻擊檢測。

通過在交換機(jī)上開啟ARP-Guard功能，設(shè)置ARP報(bào)文的攻擊水線以及限速水線。如果ARP報(bào)文量超過攻擊水線，那么設(shè)備將通過安全策略直接進(jìn)行隔離，并產(chǎn)生log信息給日志服務(wù)器。如果ARP報(bào)文量小于攻擊水線但大于限速水線，那么將對(duì)報(bào)文進(jìn)行限速處理，并產(chǎn)生log信息給日志服務(wù)器。如果ARP報(bào)文量低于限速水線，可正常轉(zhuǎn)發(fā)至CPU。如圖11所示：

 

▲圖11 ARP-Guard工作流程圖

 

在實(shí)際部署過程當(dāng)中，NFPP往往與CPP同時(shí)開啟。

 

 

總 結(jié)

ARP欺騙攻擊可能引發(fā)網(wǎng)絡(luò)的信息安全問題，而ARP泛洪攻擊可能直接導(dǎo)致網(wǎng)絡(luò)交換機(jī)的癱瘓，造成網(wǎng)絡(luò)的不可用。一個(gè)引發(fā)數(shù)據(jù)泄露，而另一個(gè)將導(dǎo)致生產(chǎn)業(yè)務(wù)中斷，因此需要網(wǎng)絡(luò)管理人員高度重視。建議實(shí)際部署或者交付過程中，增加對(duì)ARP防護(hù)的配置，推薦方案為：

• 部署IP Source Guard + ARP-check，可實(shí)現(xiàn)防止APR欺騙、防止DHCP私設(shè)以及防止內(nèi)網(wǎng)IP私設(shè)。

• 部署CPP+NFPP，可防止ARP泛洪攻擊、DHCP攻擊，防止CPU負(fù)載過高。

 

 

本期作者：張文杰

銳捷網(wǎng)絡(luò)互聯(lián)網(wǎng)系統(tǒng)部行業(yè)咨詢

 

往期精彩回顧  

• 【第一期】淺談物聯(lián)網(wǎng)技術(shù)之通信協(xié)議的紛爭
• 【第二期】如何通過網(wǎng)絡(luò)遙測（Network Telemetry）技術(shù)實(shí)現(xiàn)精細(xì)化網(wǎng)絡(luò)運(yùn)維？
• 【第三期】暢談數(shù)據(jù)中心網(wǎng)絡(luò)運(yùn)維自動(dòng)化
• 【第四期】基于Rogue AP反制的無線安全技術(shù)探討
• 【第五期】流量可視化之ERSPAN的前世今生
• 【第六期】如何實(shí)現(xiàn)數(shù)據(jù)中心網(wǎng)絡(luò)架構(gòu)“去”堆疊
• 【第七期】運(yùn)維可視化之INT功能詳解
• 【第八期】淺析RDMA網(wǎng)絡(luò)下MMU水線設(shè)置
• 【第九期】第七代無線技術(shù)802.11ax詳解
• 【第十期】數(shù)據(jù)中心自動(dòng)化運(yùn)維技術(shù)探索之交換機(jī)零配置上線
• 【第十一期】 淺談數(shù)據(jù)中心100G光模塊
• 【第十二期】數(shù)據(jù)中心網(wǎng)絡(luò)等價(jià)多路徑（ECMP）技術(shù)應(yīng)用研究
• 【第十三期】如何為RDMA構(gòu)建無損網(wǎng)絡(luò)
• 【第十四期】基于EVPN的分布式VXLAN實(shí)現(xiàn)方案
• 【第十五期】數(shù)據(jù)中心自動(dòng)化運(yùn)維技術(shù)探索之NETCONF
• 【第十六期】一文讀懂網(wǎng)絡(luò)界新貴Segment Routing技術(shù)化繁為簡的奧秘
• 【第十七期】淺談UWB（超寬帶）室內(nèi)定位技術(shù)
• 【第十八期】PoE以太網(wǎng)供電技術(shù)詳解
• 【第十九期】機(jī)框式核心交換機(jī)硬件架構(gòu)演進(jìn)
• 【第二十期】 IPv6基礎(chǔ)篇（上）——地址與報(bào)文格式
• 【第二十一期】IPv6系列基礎(chǔ)篇（下）——鄰居發(fā)現(xiàn)協(xié)議NDP
• 【第二十二期】IPv6系列安全篇——SAVI技術(shù)解析
• 【第二十三期】IPv6系列安全篇——園區(qū)網(wǎng)IPv6的接入安全策略
• 【第二十四期】Wi-Fi 6真的很“6”（概述篇）——不只是更高的傳輸速率
• 【第二十五期】 Wi-Fi 6真的很“6”（技術(shù)篇） ——前方高能，小白慎入
• 【第二十六期】IPv6系列應(yīng)用篇——數(shù)據(jù)中心IPv4/IPv6雙棧架構(gòu)探討