arp欺騙原理及防范(編輯修改稿)
2024-10-22 13:52 本頁面
【文章內容簡介】 26C_A端口冒充網(wǎng)關的ARP報文禁掉，其中藍色部分64010101是網(wǎng)關ip地址的16進制表示形式：=64010101。rule1目的：把上行口的網(wǎng)關ARP報文允許通過，藍色部分為網(wǎng)關3552的mac地址000fe2003999。注意配置Rule時的配置順序，上述配置為先下發(fā)后生效的情況。在S3026CA系統(tǒng)視圖下發(fā)acl規(guī)則：[S3026CA]packetfilter usergroup 5000 這樣只有3026C_A上連設備能夠下發(fā)網(wǎng)關的ARP報文，其它pc就不能發(fā)送假冒網(wǎng)關的arp響應報文。二、三層交換機配置組網(wǎng)防攻擊配置舉例 對于三層設備，需要配置過濾源IP是網(wǎng)關的arp報文的acl規(guī)則，配置如下acl規(guī)則：ACL num 5000 rule 0 deny 0806 ffff 24 64010105 ffffffff 40rule0目的：把所有3526E端口冒充網(wǎng)關的ARP報文禁掉，其中藍色部分64010105是網(wǎng)關ip地址的16進制表示形式：=64010105。仿冒他人IP的arp攻擊作為網(wǎng)關的設備有可能會出現(xiàn)arp錯誤表項，因此在網(wǎng)關設備上還需對仿冒他人IP的arp攻擊報文進行過濾。如圖1，當PCB發(fā)送源IP地址為PCD的arp reply攻擊報文，源mac是PCB的mac (000d88f809fa)，源ip是PCD的ip()，目的ip和mac是網(wǎng)關（3552P）的，這樣3552上就會學習錯誤的arp，如下所示： 錯誤 arp 表項 IP Address MAC Address VLAN ID Port Name Aging Type 000d88f809fa 1 Ethernet0/2 20 Dynamic 000f3d8145b4 1 Ethernet0/2 20 Dynamic從網(wǎng)絡連接可以知道PCD的arp表項應該學習到端口E0/8上
黨政相關相關推薦
鄂ICP備17016276號-1