arp欺騙原理及防范(存儲(chǔ)版)
【正文】 條目保存在對(duì)應(yīng)表中。僅僅具有上述功能的交換機(jī)才能防止ARP欺騙。②同理，在圖2 S3526C上也可以配置靜態(tài)arp來防止設(shè)備學(xué)習(xí)到錯(cuò)誤的arp表項(xiàng)。三層交換機(jī)配置組網(wǎng)防攻擊配置舉例 對(duì)于三層設(shè)備，需要配置過濾源IP是網(wǎng)關(guān)的arp報(bào)文的acl規(guī)則，配置如下acl規(guī)則：ACL num 5000 rule 0 deny 0806 ffff 24 64010105 ffffffff 40rule0目的：把所有3526E端口冒充網(wǎng)關(guān)的ARP報(bào)文禁掉，其中藍(lán)色部分64010105是網(wǎng)關(guān)ip地址的16進(jìn)制表示形式：=64010105。PCB上裝有arp攻擊軟件。這以后當(dāng)B給A發(fā)送數(shù)據(jù)包時(shí)，目標(biāo)MAC地址將使用C的MAC地址，因此交換機(jī)根據(jù)C的MAC地址就將數(shù)據(jù)包轉(zhuǎn)發(fā)到攻擊者C所在的端口。因此，每一臺(tái)主機(jī)在發(fā)送鏈路層數(shù)據(jù)幀前都需要知道同一鏈路上接收方的MAC地址，地址解析協(xié)議ARP正是用來進(jìn)行IP地址到MAC地址的轉(zhuǎn)換的。 ARP協(xié)議雖然是一個(gè)高效的數(shù)據(jù)鏈路層協(xié)議，但作為一個(gè)局域網(wǎng)協(xié)議，它是建立在各主機(jī)之間相互信任的基礎(chǔ)上的，所以ARP協(xié)議存在以下缺陷：ARP高速緩存根據(jù)所接收到的ARP協(xié)議包隨時(shí)進(jìn)行動(dòng)態(tài)更新；ARP協(xié)議沒有連接的概念，任意主機(jī)即使在沒有ARP請(qǐng)求的時(shí)候也可以做出應(yīng)答；ARP協(xié)議沒有認(rèn)證機(jī)制，只要接收到的協(xié)議包是有效的，主機(jī)就無條件的根據(jù)協(xié)議包的內(nèi)容刷新本機(jī)ARP緩存，并不檢查該協(xié)議包的合法性。二、 特征：網(wǎng)速時(shí)快時(shí)慢，極其不穩(wěn)定，但單機(jī)進(jìn)行光纖數(shù)據(jù)測試時(shí)一切正常。（1）全局配置deny 所有源IP是網(wǎng)關(guān)的arp報(bào)文（自定義規(guī)則）ACL num 5000Rule 0 deny 0806 ffff 24 64010101 ffffffff 40rule 1 permit 0806 ffff 24 000fe2003999 ffffffffffff 34rule0目的：把整個(gè)3026C_A端口冒充網(wǎng)關(guān)的ARP報(bào)文禁掉，其中藍(lán)色部分64010101是網(wǎng)關(guān)ip地址的16進(jìn)制表示形式：=64010101。如圖1，當(dāng)PCB發(fā)送源IP地址為PCD的arp reply攻擊報(bào)文，源m
黨政相關(guān)相關(guān)推薦
鄂ICP備17016276號(hào)-1