arp攻擊防御解決方案(畢業(yè)論文)-資料下載頁
2025-08-14 11:06本頁面
【正文】 Snooping 信任端口，對(duì)于來自信任端口的所有 DHCP 報(bào)文不進(jìn)行檢測，而其他非信任端口則只允許 DHCP Discover 和 Request 報(bào)文進(jìn)入。 限速功能H3C 低端以太網(wǎng)交換機(jī)還支持端口 ARP 報(bào)文限速功能，來避免此類攻擊對(duì)局域網(wǎng)造成的沖擊。開啟某個(gè)端口的 ARP 報(bào)文限速功能后，交換機(jī)對(duì)每秒內(nèi)該端口接收的ARP 報(bào)文數(shù)量進(jìn)行統(tǒng)計(jì)，如果每秒收到的 ARP 報(bào)文數(shù)量超過設(shè)定值，則認(rèn)為該端口處于超速狀態(tài)（即受到 ARP 報(bào)文攻擊） 。此時(shí)，交換機(jī)將關(guān)閉該端口，使其不再接收任何報(bào)文，從而避免大量 ARP 報(bào)文攻擊設(shè)備。同時(shí)，設(shè)備支持配置端口狀態(tài)自動(dòng)恢復(fù)功能，對(duì)于配置了 ARP 限速功能的端口，在其因超速而被交換機(jī)關(guān)閉后，經(jīng)過一段時(shí)間可以自動(dòng)恢復(fù)為開啟狀態(tài)。 其他技術(shù) 基于網(wǎng)關(guān)IP/MAC 的ARP報(bào)文過濾功能按照 ARP 協(xié)議的設(shè)計(jì)，網(wǎng)絡(luò)設(shè)備收到目的 IP 地址是本接口 IP 地址的 ARP報(bào)文（無論此 ARP 報(bào)文是否為自身請(qǐng)求得到的） ，都會(huì)將其 IP 地址和 MAC 地址的對(duì)應(yīng)關(guān)系添加到自身的 ARP 映射表中。這樣可以減少網(wǎng)絡(luò)上過多的 ARP數(shù)據(jù)通信，但也為“ARP 欺騙”創(chuàng)造了條件。實(shí)際網(wǎng)絡(luò)環(huán)境，特別是校園網(wǎng)中，最常見的 ARP 攻擊方式是“仿冒網(wǎng)關(guān)”攻擊。即：攻擊者偽造 ARP 報(bào)文，發(fā)送源 IP 地址為網(wǎng)關(guān) IP 地址，源 MAC 地址為偽造的 MAC 地址的 ARP 報(bào)文給被攻擊的主機(jī)，使這些主機(jī)更新自身 ARP表中網(wǎng)關(guān) IP 地址與 MAC 地址的對(duì)應(yīng)關(guān)系。這樣一來，主機(jī)訪問網(wǎng)關(guān)的流量，被重定向到一個(gè)錯(cuò)誤的 MAC 地址，導(dǎo)致該用戶無法正常訪問外網(wǎng)。G a t e w a y S w i t c h攻 擊 者H o s t A網(wǎng) 關(guān) 的 M A C 更 新 了圖 12 網(wǎng)管仿冒攻擊示意圖為了防御“仿冒網(wǎng)關(guān) ”的 ARP 攻擊，H3C 以太網(wǎng)交換機(jī)支持基于網(wǎng)關(guān)IP/MAC 的 ARP 報(bào)文過濾功能:為了防御“仿冒網(wǎng)關(guān) ”的 ARP 攻擊，H3C 以太網(wǎng)交換機(jī)支持基于網(wǎng)關(guān)IP/MAC 的 ARP 報(bào)文過濾功能。將接入交換機(jī)級(jí)聯(lián)端口或上行端口和網(wǎng)關(guān) IP 地址、網(wǎng)關(guān) MAC 地址進(jìn)行綁定。綁定后，該端口接收的源 IP 地址為指定的網(wǎng)關(guān) IP 地址，源 MAC 地址為非指定的網(wǎng)關(guān) MAC 地址的 ARP 報(bào)文將被丟棄，其他 ARP 報(bào)文允許通過。 ARP報(bào)文源 MAC一致性檢查功能惡意用戶可能通過工具軟件，偽造網(wǎng)絡(luò)中其他設(shè)備（或主機(jī)）的源 IP 或源MAC 地址的 ARP 報(bào)文，進(jìn)行發(fā)送，從而導(dǎo)致途徑網(wǎng)絡(luò)設(shè)備上的 ARP 表項(xiàng)刷新到錯(cuò)誤的端口上，網(wǎng)絡(luò)流量中斷。為了防御這一類 ARP 攻擊，增強(qiáng)網(wǎng)絡(luò)健壯性，H3C 以太網(wǎng)交換機(jī)作為網(wǎng)關(guān)設(shè)備時(shí)，支持配置 ARP 報(bào)文源 MAC 一致性檢查功能。通過檢查 ARP 報(bào)文中的源 MAC 地址和以太網(wǎng)報(bào)文頭中的源 MAC 地址是否一致，來校驗(yàn)其是否為偽造的 ARP 報(bào)文。如果一致，則該 ARP 報(bào)文通過一致性檢查，交換機(jī)進(jìn)行正常的表項(xiàng)學(xué)習(xí)；如果不一致，則認(rèn)為該 ARP 報(bào)文是偽造報(bào)文，交換機(jī)不學(xué)習(xí)動(dòng)態(tài) ARP 表項(xiàng)的學(xué)習(xí)，也不根據(jù)該報(bào)文刷新 ARP 表項(xiàng)。4 典型組網(wǎng)部署 DHCP監(jiān)控模式的部署 典型組網(wǎng)圖 13 DHCP 監(jiān)控模式典型組網(wǎng) 部署思路在接入交換機(jī)上開啟 DHCP snooping 功能，并配置與 DHCP 服務(wù)器相連的端口為 DHCP snooping 信任端口。在接入交換機(jī)上為靜態(tài) IP 地址分配模式的主機(jī)或者服務(wù)器配置對(duì)應(yīng)的 IP靜態(tài)綁定表項(xiàng)。在接入交換機(jī)對(duì)應(yīng) VLAN 上開啟 ARP 入侵檢測功能，并配置該交換機(jī)的上行口為 ARP 信任端口。在接入交換機(jī)的直接連接客戶端的端口上配置 ARP 報(bào)文限速功能，同時(shí)全局開啟因 ARP 報(bào)文超速而被關(guān)閉的端口的狀態(tài)自動(dòng)恢復(fù)功能。 認(rèn)證模式的部署 典型組網(wǎng)圖 14 認(rèn)證模式典型組網(wǎng) 部署步驟1. 步驟一：在 CAMS 上選擇配置用戶網(wǎng)關(guān)圖 15 認(rèn)證模式示意圖步驟二：在 CAMS 上配置網(wǎng)管綁定關(guān)系圖 16 認(rèn)證模式圖步驟三： 選擇立即生效圖 17 認(rèn)證模式示意圖步驟四：用戶正常上線圖 18 認(rèn)證模式示意圖總結(jié)目前 ARP 攻擊一般有網(wǎng)管仿冒、欺騙網(wǎng)關(guān)、ARP 泛洪攻擊、欺騙終端用戶這四種方式，針對(duì)其攻擊的方式可以采取認(rèn)證模式之終端防護(hù)、認(rèn)證模式之接入綁定、DHCP 監(jiān)控網(wǎng)關(guān) IP/MAC 的 ARP 報(bào)文過濾等方式進(jìn)行防御。參考文獻(xiàn)〔1〕〔2〕〔3〕〔4〕〔5〕〔J〕2022年〔6〕〔J 〕技術(shù)文檔，2022年致謝能完成本論文，不是一個(gè)人的成果，有許許多多的人在無私的幫助我，借此機(jī)會(huì)向他們表示我的感謝。首先要感謝我的導(dǎo)師*******老師，在撰寫論文的過程中，********老師對(duì)我進(jìn)行了全面認(rèn)真的指導(dǎo)，從論文的選題、構(gòu)思、資料收集到最終的論文定稿，都給予了我很大的幫助和支持，在此我表示最衷心的感謝。我還要對(duì)*********老師致以深深的謝意。他無私地幫助我克服了課題進(jìn)行中遇到的許多困難和挑戰(zhàn)，傳授給我許多具體的技巧。同樣，我深深感謝和我一起度過四年的全體*******學(xué)院的同學(xué)。四年來，與他們的合作和討論使我受益匪淺，謝謝他們給予我的無私幫助和珍貴的友誼。感謝***********學(xué)院給我創(chuàng)造了良好愉快的學(xué)習(xí)環(huán)境。感謝我的父母對(duì)我多年的養(yǎng)育和教導(dǎo)，他們的支持是我前進(jìn)的動(dòng)力源泉，使我能夠順利完成我的學(xué)業(yè)。再次向所有幫助我的人表示衷心的感謝！
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1