arp防火墙是什么_arp防火墙是什么意思

       arp防火墙是什么的今日更新是一个不断发展的过程，它反映了人们对生活品质的不断追求。今天，我将和大家探讨关于arp防火墙是什么的今日更新，让我们一起感受它带来的高品质生活。

1.使用路由器有必要打开ARP防火墙吗？

2.有谁知道arp防火墙 与 防火墙 有什么区别？

3.ARP是什么东西啊

4.什么是ARP？

使用路由器有必要打开ARP防火墙吗？

       使用路由器,跟打开ARP防火墙,其实没有关系,

       使用路由器,只不过是以路由器作网关,家里的两台电脑通过它共享上网,这时开不开ARP防火墙,对于上网是没有区别的.

       你说的这种情况,电脑A不开ARP防火墙就会频繁掉线,那可能是另一台电脑B中了ARP病毒,如果是电脑A中了这种病毒,本身是不是掉线的,它只是会把同一局域网里的其它电脑弄的网速极慢,或者掉线.

       ARP病毒工作原理简单说,就是中了毒的电脑X,不停在整个局域网里发ARP广播,说自己IP为网关IP(就是路由器的IP),结果就是:1;局域网的带宽首先被广播占用很多,网速变慢. 2,其它电脑就会把X当成网关,把应该发给网关的数据,经常误发给电脑X,电脑X当然不会送给网关,这里就表现为掉线,

       ARP防火墙的作用是,把网关IP(即你的路由器的IP),跟路由器的mac绑定起来,收到的网关发来的ARP包时,只为MAC正确的,电脑才理,不正确的(电脑X发来的),就扔掉了.这样一来,就不会频繁掉线了,但是如果局域网里有电脑中了ARP病毒,还是会有广播占用大量带宽,网速还是受到了影响.

有谁知道arp防火墙 与 防火墙 有什么区别？

       1、ARP防火墙与别的按钮一样可以直接使用?

       答：不可以。需要安装后才能使用。

       左键单机ARP防火墙按钮，会出现询问是否安装的对话框，若安装，点击“立即安装”按钮，若不想安装，点击“放弃保护”按钮。

       2、ARP防火墙安装之后会不会断网?

       会断网，但很短时间内会自动联网。

       3、ARP防火墙安装之后会不会重启?

       答：安装在所有支持的系统下，不会重启。

       4、ARP防火墙支持的系统都有哪些?

       答：1)支持：XP x86/Vista x86/Win7 x86/ Win7 x64系统。

       2)不支持： XP/Vista x64,Win2003,Win2008等其他系统。

       5、如何禁用ARP防火墙安装?

       答：可以。进入状态页面，点击“已启用”按钮，就可以禁用。

       6、ARP防火墙可以拦截的攻击类型都有哪些?

       答：总体上分为三类。

       1) 拦截外部ARP攻击;

       2) 拦截本机对外的ARP攻击;

       3) 拦截IP冲突。

       7、推荐ARP防火墙的适用范围有哪些?

       答：ARP防火墙针对局域网环境(诸如：公司，网吧等)，如在家里上网，建议您不要启动。

ARP是什么东西啊

       ARP防火墙只是一个分支..推荐一个我自己用的杀毒软件组合..不敢说最好但现在我起码没试过中毒的我用的是诺顿反病毒+AVAST+ZONE ALARM防火墙+360安全卫士值得注意的是诺顿反病毒2008+AVAST PRO 4.7反病毒这两者并不冲突,诺顿霸道而AVAST比较含蓄,2者结合杀毒效果很好,这主要体现在诺顿的全盘杀毒扫描和AVAST的实时监控上. 然后2者在配上世界排名第一的ZONE ALARM防火墙就会很安全了 杀毒和防火墙最好不要用一个牌子的 你的机器如果可能的话可以再装金山毒霸2008,你把金山的实时监控和自动启动关闭就不会和诺顿冲突,你可以把金山当作专门负责下载文件的扫描的杀毒工具. 而360对木马和恶意插件,有很好的清除效果..对IE的修复功能也很强大...以上4套软件除了不能让金山随机启动外,别的可以,这样AVAST防毒.诺顿杀毒.ZONE ALARM反木马.金山查下载的文件.360对恶意插件的监视,,你的机器会很安全的...我的就是这样作的,我的配置是CPU AMD 4000+ 内存 2G 我的机器现在的速度也很快 (浪﹑ ￣児 专利,复制BS)附下载地址: 诺顿: /detail/9/80065.shtml Avast: / 金山: / (浪﹑ ￣児 整理)

什么是ARP？

       ARP攻击与防护完全手册2008年01月18日 星期五 下午 05:261. ARP概念

        咱们谈ARP之前，还是先要知道ARP的概念和工作原理，理解了原理知识，才能更好去面对和分析处理问题。

        1.1 ARP概念知识

        ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。

        IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址），以保证通信的顺利进行。

        1.2 ARP工作原理

        首先，每台主机都会在自己的ARP缓冲区中建立一个 ARP列表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该 IP地址对应的MAC地址，如果有，就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。

        例如：

        A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA

        B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB

        根据上面的所讲的原理，我们简单说明这个过程：A要和B通讯，A就需要知道B的以太网地址，于是A发送一个ARP请求广播（谁是192.168.10.2 ，请告诉192.168.10.1），当B收到该广播，就检查自己，结果发现和自己的一致，然后就向A发送一个ARP单播应答（192.168.10.2 在BB-BB-BB-BB-BB-BB）。

       1.3 ARP通讯模式

        通讯模式（Pattern Analysis）：在网络分析中，通讯模式的分析是很重要的，不同的协议和不同的应用都会有不同的通讯模式。更有些时候，相同的协议在不同的企业应用中也会出现不同的通讯模式。ARP在正常情况下的通讯模式应该是：请求 -> 应答 -> 请求 -> 应答，也就是应该一问一答。

        2. 常见ARP攻击类型

        个人认为常见的ARP攻击为两种类型：ARP扫描和ARP欺骗。

        2.1 ARP扫描（ARP请求风暴）

        通讯模式（可能）：

        请求 -> 请求 -> 请求 -> 请求 -> 请求 -> 请求 -> 应答 -> 请求 -> 请求 -> 请求...

        描述：

        网络中出现大量ARP请求广播包，几乎都是对网段内的所有主机进行扫描。大量的ARP请求广播可能会占用网络带宽资源；ARP扫描一般为ARP攻击的前奏。

        出现原因（可能）：

        *病毒程序，侦听程序，扫描程序。

        *如果网络分析软件部署正确，可能是我们只镜像了交换机上的部分端口，所以大量ARP请求是来自与非镜像口连接的其它主机发出的。

        *如果部署不正确，这些ARP请求广播包是来自和交换机相连的其它主机。

        2.2 ARP欺骗

        ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。所以在网络中，有人发送一个自己伪造的ARP应答，网络可能就会出现问题。这可能就是协议设计者当初没考虑到的！

        2.2.1 欺骗原理

        假设一个网络环境中，网内有三台主机，分别为主机A、B、C。主机详细信息如下描述：

        A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA

        B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB

        C的地址为：IP：192.168.10.3 MAC: CC-CC-CC-CC-CC-CC

        正常情况下A和C之间进行通讯，但是此时B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3（C的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存（A被欺骗了），这时B就伪装成C了。同时，B同样向C发送一个ARP应答，应答包中发送方IP地址四192.168.10.1（A的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（A的MAC地址本来应该是AA-AA-AA-AA-AA-AA），当C收到B伪造的ARP应答，也会更新本地ARP缓存（C也被欺骗了），这时B就伪装成了A。这样主机A和C都被主机B欺骗，A和C之间通讯的数据都经过了B。主机B完全可以知道他们之间说的什么：）。这就是典型的ARP欺骗过程。

        注意：一般情况下，ARP欺骗的某一方应该是网关。

        2.2.2 两种情况

        ARP欺骗存在两种情况：一种是欺骗主机作为“中间人”，被欺骗主机的数据都经过它中转一次，这样欺骗主机可以窃取到被它欺骗的主机之间的通讯数据；另一种让被欺骗主机直接断网。

        第一种：窃取数据（嗅探）

        通讯模式：

        应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 请求 -> 应答 -> 应答 ->请求->应答...

        描述：

        这种情况就属于我们上面所说的典型的ARP欺骗，欺骗主机向被欺骗主机发送大量伪造的ARP应答包进行欺骗，当通讯双方被欺骗成功后，自己作为了一个“中间人“的身份。此时被欺骗的主机双方还能正常通讯，只不过在通讯过程中被欺骗者“窃听”了。

        出现原因（可能）：

        *木马病毒

        *嗅探

        *人为欺骗

        第二种：导致断网

        通讯模式：

        应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 请求…

        描述：

        这类情况就是在ARP欺骗过程中，欺骗者只欺骗了其中一方，如B欺骗了A，但是同时B没有对C进行欺骗，这样A实质上是在和B通讯，所以A就不能和C通讯了，另外一种情况还可能就是欺骗者伪造一个不存在地址进行欺骗。

        对于伪造地址进行的欺骗，在排查上比较有难度，这里最好是借用TAP设备（呵呵，这个东东好像有点贵勒），分别捕获单向数据流进行分析！

        出现原因（可能）：

        * 木马病毒

        *人为破坏

        *一些网管软件的控制功能

        3. 常用的防护方法

        搜索网上，目前对于ARP攻击防护问题出现最多是绑定IP和MAC和使用ARP防护软件，也出现了具有ARP防护功能的路由器。呵呵，我们来了解下这三种方法。

       3.1 静态绑定

        最常用的方法就是做IP和MAC静态绑定，在网内把主机和网关都做IP和MAC绑定。

        欺骗是通过ARP的动态实时的规则欺骗内网机器，所以我们把ARP全部设置为静态可以解决对内网PC的欺骗，同时在网关也要进行IP和MAC的静态绑定，这样双向绑定才比较保险。

        方法：

        对每台主机进行IP和MAC地址静态绑定。

        通过命令，arp -s可以实现 “arp –s IP MAC地址 ”。

        例如：“arp –s 192.168.10.1 AA-AA-AA-AA-AA-AA”。

        如果设置成功会在PC上面通过执行 arp -a 可以看到相关的提示：

        Internet Address Physical Address Type

        192.168.10.1 AA-AA-AA-AA-AA-AA static(静态)

        一般不绑定,在动态的情况下：

        Internet Address Physical Address Type

        192.168.10.1 AA-AA-AA-AA-AA-AA dynamic(动态)

        说明：对于网络中有很多主机，500台，1000台...，如果我们这样每一台都去做静态绑定，工作量是非常大的。。。。，这种静态绑定，在电脑每次重起后，都必须重新在绑定，虽然也可以做一个批处理文件，但是还是比较麻烦的！

        3.2 使用ARP防护软件

        目前关于ARP类的防护软件出的比较多了，大家使用比较常用的ARP工具主要是欣向ARP工具，Antiarp等。它们除了本身来检测出ARP攻击外，防护的工作原理是一定频率向网络广播正确的ARP信息。我们还是来简单说下这两个小工具。

        3.2.1 欣向ARP工具

        俺使用了该工具，它有5个功能：

        A. IP/MAC清单

        选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。

        IP/MAC扫描。这里会扫描目前网络中所有的机器的IP与MAC地址。请在内网运行正常时扫描，因为这个表格将作为对之后ARP的参照。

        之后的功能都需要这个表格的支持，如果出现提示无法获取IP或MAC时，就说明这里的表格里面没有相应的数据。

        B. ARP欺骗检测

        这个功能会一直检测内网是否有PC冒充表格内的IP。你可以把主要的IP设到检测表格里面，例如，路由器，**服务器，等需要内网机器访问的机器IP。

        (补充)“ARP欺骗记录”表如何理解：

        “Time”：发现问题时的时间；

        “sender”：发送欺骗信息的IP或MAC；

        “Repeat”：欺诈信息发送的次数；

        “ARP info”：是指发送欺骗信息的具体内容.如下面例子：

        time sender Repeat ARP info 22:22:22 192.168.1.22 1433 192.168.1.1 is at 00:0e:03:22:02:e8

        这条信息的意思是：在22:22:22的时间,检测到由192.168.1.22发出的欺骗信息，已经发送了1433次，他发送的欺骗信息的内容是：192.168.1.1的MAC地址是00:0e:03:22:02:e8。

        打开检测功能，如果出现针对表内IP的欺骗，会出现提示。可以按照提示查到内网的ARP欺骗的根源。提示一句，任何机器都可以冒充其他机器发送IP与MAC，所以即使提示出某个IP或MAC在发送欺骗信息，也未必是100％的准确。所有请不要以暴力解决某些问题。

        C. 主动维护

        这个功能可以直接解决ARP欺骗的掉线问题，但是并不是理想方法。他的原理就在网络内不停的广播制定的IP的正确的MAC地址。

        “制定维护对象”的表格里面就是设置需要保护的IP。发包频率就是每秒发送多少个正确的包给网络内所有机器。强烈建议尽量少的广播IP，尽量少的广播频率。一般设置1次就可以，如果没有绑定IP的情况下，出现ARP欺骗，可以设置到50－100次，如果还有掉线可以设置更高，即可以实现快速解决ARP欺骗的问题。但是想真正解决ARP问题，还是请参照上面绑定方法。

        D. 欣向路由器日志

        收集欣向路由器的系统日志，等功能。

        E. 抓包

        类似于网络分析软件的抓包，保存格式是.cap。

       3.2.1 Antiarp

        这个软件界面比较简单，以下为我收集该软件的使用方法。

        A. 填入网关IP地址，点击〔获取网关地址〕将会显示出网关的MAC地址。点击[自动防护]即可保护当前网卡与该网关的通信不会被第三方监听。注意：如出现ARP欺骗提示，这说明攻击者发送了ARP欺骗数据包来获取网卡的数据包，如果您想追踪攻击来源请记住攻击者的MAC地址，利用MAC地址扫描器可以找出IP 对应的MAC地址.

        B. IP地址冲突

        如频繁的出现IP地址冲突，这说明攻击者频繁发送ARP欺骗数据包，才会出现IP冲突的警告，利用Anti ARP Sniffer可以防止此类攻击。

        C. 您需要知道冲突的MAC地址，Windows会记录这些错误。查看具体方法如下：

        右击[我的电脑]--[管理]--点击[事件查看器]--点击[系统]--查看来源为[TcpIP]---双击事件可以看到显示地址发生冲突，并记录了该MAC地址，请复制该MAC地址并填入Anti ARP Sniffer的本地MAC地址输入框中(请注意将:转换为-)，输入完成之后点击[防护地址冲突]，为了使MAC地址生效请禁用本地网卡然后再启用网卡，在CMD命令行中输入Ipconfig /all，查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符，如果更改失败请与我联系。如果成功将不再会显示地址冲突。

        注意:如果您想恢复默认MAC地址,请点击[恢复默认],为了使MAC地址生效请禁用本地网卡然后再启用网卡。

        3.3 具有ARP防护功能的路由器

        这类路由器以前听说的很少，对于这类路由器中提到的ARP防护功能，其实它的原理就是定期的发送自己正确的ARP信息。但是路由器的这种功能对于真正意义上的攻击，是不能解决的。

        ARP的最常见的特征就是掉线，一般情况下不需要处理一定时间内可以回复正常上网，因为ARP欺骗是有老化时间的，过了老化时间就会自动的回复正常。现在大多数路由器都会在很短时间内不停广播自己的正确ARP信息，使受骗的主机回复正常。但是如果出现攻击性ARP欺骗(其实就是时间很短的量很大的欺骗ARP，1秒有个几百上千的)，它是不断的发起ARP欺骗包来阻止内网机器上网，即使路由器不断广播正确的包也会被他大量的错误信息给淹没。

        可能你会有疑问：我们也可以发送比欺骗者更多更快正确的ARP信息啊？如果攻击者每秒发送1000个ARP欺骗包，那我们就每秒发送1500个正确的ARP信息！

        面对上面的疑问，我们仔细想想，如果网络拓扑很大，网络中接了很多网络设备和主机，大量的设备都去处理这些广播信息，那网络使用起来好不爽，再说了会影响到我们工作和学习。ARP广播会造成网络资源的浪费和占用。如果该网络出了问题，我们抓包分析，数据包中也会出现很多这类ARP广播包，对分析也会造成一定的影响

       分类: 电脑/网络 >> 反病毒

        问题描述:

        详细点可以吗？

        解析:

        这里没法看，如果你想看的话，就到这里来：130/CMS/Pub/neork/neork_protocal/20201

        ARP协议概述

        IP数据包常通过以太网发送。以太网设备并不识别32位IP地址：它们是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP目的地址转换成以太网网目的地址。在这两种地址之间存在着某种静态的或算法的映射，常常需要查看一张表。地址解析协议(Address Resolution Protocol，ARP)就是用来确定这些映象的协议。

       ARP工作时，送出一个含有所希望的IP地址的以太网广播数据包。目的地主机，或另一个代表该主机的系统，以一个含有IP和以太网地址对的数据包作为应答。发送者将这个地址对高速缓存起来，以节约不必要的ARP通信。

        如果有一个不被信任的节点对本地网络具有写访问许可权，那么也会有某种风险。这样一台机器可以发布虚假的ARP报文并将所有通信都转向它自己，然后它就可以扮演某些机器，或者顺便对数据流进行简单的修改。ARP机制常常是自动起作用的。在特别安全的网络上， ARP映射可以用固件，并且具有自动抑制协议达到防止干扰的目的。

        图1 以太网上的ARP报文格式

        图1是一个用作IP到以太网地址转换的ARP报文的例子。在图中每一行为32位，也就是4个八位组表示，在以后的图中，我们也将遵循这一方式。

        硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1。协议类型字段指明了发送方提供的高层协议类型，IP为0806（16进制）。硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用。操作字段用来表示这个报文的目的，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4。

        当发出ARP请求时，发送方填好发送方首部和发送方IP地址，还要填写目标IP地址。当目标机器收到这个ARP广播包时，就会在响应报文中填上自己的48位主机地址。

        2 ARP使用举例

        我们先看一下linux下的arp命令(如果开始arp表中的内容为空的话,需要先对某台主机进行一个连接,例如ping一下目标主机来产生一个arp项)：

        d2server:/home/kerberos# arp

        Address HWtype HWaddress Flags Mask Iface

        211.161.17.254 ether 00:04:9A:AD:1C:0A C eth0

        Address：主机的IP地址

        Hwtype：主机的硬件类型

        Hwaddress：主机的硬件地址

        Flags Mask：记录标志，"C"表示arp高速缓存中的条目，"M"表示静态的arp条目。

        用"arp --a"命令可以显示主机地址与IP地址的对应表，也就是机器中所保存的arp缓存信息。这个高速缓存存放了最近Inter地址到硬件地址之间的映射记录。高速缓存中每一项的生存时间一般为20分钟，起始时间从被创建时开始算起。

        d2server:/home/kerberos# arp -a

        (211.161.17.254) at 00:04:9A:AD:1C:0A [ether] on eth0

        可以看到在缓存中有一条211.161.17.254相对应的arp缓存条目。

        d2server:/home/kerberos# tel 211.161.17.21

        Trying 211.161.17.21...

        Connected to 211.161.17.21.

        Escape character is '^]'.

        ^].

        tel>quit

        conion closed.

        在执行上面一条tel命令的同时，用tcpdump进行监听：

        d2server:/home/kerberos# tcpdump -e dst host 211.161.17.21

        tcpdump: listening on eth0

        我们将会听到很多包，我们取与我们arp协议相关的2个包：

        1 0.0 00:D0:F8:0A:FB:83 FF:FF:FF:FF:FF:FF arp 60

        who has 211.161.17.21 tell d2server

        2 0.002344(0.0021) 00:E0:3C:43:0D:24 00:D0:F8:0A:FB:83 arp 60

        arp reply 211.161.17.21 is at 00:E0:3C:43:0D:24

        在第1行中，源端主机（d2server）的硬件地址是00:D0:F8:0A:FB:83。目的端主机的硬件地址是FF:FF:FF:FF:FF:FF，这是一个以太网广播地址。电缆上的每个以太网接口都要接收这个数据帧并对它进行处理。

        第1行中紧接着的一个输出字段是arp，表明帧类型字段的值是0x0806，说明此数据帧是一个ARP请求或回答。

        在每行中，单词后面的值60指的是以太网数据帧的长度。由于ARP请求或回答的数据帧长都是42字节（28字节的ARP数据，14字节的以太网帧头），因此，每一帧都必须加入填充字符以达到以太网的最小长度要求：60字节。

        第1行中的下一个输出字段arp who-has表示作为ARP请求的这个数据帧中，目的I P地址是211.161.17.21的地址，发送端的I P地址是d2server的地址。tcpdump打印出主机名对应的默认I P地址。

        从第2行中可以看到，尽管ARP请求是广播的，但是ARP应答的目的地址却是211.161.17.21(00:E0:3C:43:0D:24)。ARP应答是直接送到请求端主机的，而是广播的。tcpdump打印出arp reply的字样，同时打印出响应者的主机ip和硬件地址。

        在每一行中，行号后面的数字表示tcpdump收到分组的时间（以秒为单位）。除第1行外，每行在括号中还包含了与上一行的时间差异（以秒为单位）。

        这个时候我们再看看机器中的arp缓存：

        d2server:/home/kerberos# arp -a

        (211.161.17.254) at 00:04:9A:AD:1C:0A [ether] on eth0

        (211.161.17.21) at 00:E0:3C:43:0D:24 [ether] on eth0

        arp高速缓存中已经增加了一条有关211.161.17.21的映射。

        再看看其他的arp相关的命令：

        d2server:/home/kerberos# arp -s 211.161.17.21 00:00:00:00:00:00

        d2server:/home/kerberos# arp

        Address HWtype HWaddress Flags Mask Iface

        211.161.17.254 ether 00:04:9A:AD:1C:0A C eth0

        211.161.17.21 ether 00:00:00:00:00:00 CM eth0

        d2server:/home/kerberos# arp -a

        (211.161.17.254) at 00:04:9A:AD:1C:0A [ether] on eth0

        (211.161.17.21) at 00:00:00:00:00:00 [ether] PERM on eth0

        可以看到我们用arp -s选项设置了211.161.17.21对应的硬件地址为00:00:00:00:00:00，而且这条映射的标志字段为CM,也就是说我们手工设置的arp选项为静态arp选项，它保持不变没有超时，不像高速缓存中的条目要在一定的时间间隔后更新。

        如果想让手工设置的arp选项有超时时间的话，可以加上temp选项

        d2server:/home/kerberos# arp -s 211.161.17.21 00:00:00:00:00:00 temp

        d2server:/home/kerberos# arp -a

        (211.161.17.254) at 00:04:9A:AD:1C:0A [ether] on eth0

        (211.161.17.21) at 00:00:00:00:00:00 [ether] on eth0

        d2server:/home/kerberos# arp

        Address HWtype HWaddress Flags Mask Iface

        211.161.17.254 ether 00:04:9A:AD:1C:0A C eth0

        211.161.17.21 ether 00:00:00:00:00:00 C eth0

        可以看到标志字段的静态arp标志"M"已经去掉了，我们手工加上的是一条动态条目。

        请大家注意arp静态条目与动态条目的区别。

        在不同的系统中，手工设置的arp静态条目是有区别的。在linux和win2000中，静态条目不会因为伪造的arp响应包而改变，而动态条目会改变。而在win98中，手工设置的静态条目会因为收到伪造的arp响应包而改变。

        如果您想删除某个arp条目（包括静态条目），可以用下面的命令：

        d2server:/home/kerberos# arp -d 211.161.17.21

        d2server:/home/kerberos# arp -a

        (211.161.17.254) at 00:04:9A:AD:1C:0A [ether] on eth0

        (211.161.17.21) at on eth0

        可以看到211.161.17.21的arp条目已经是不完整的了。

        还有一些其他的命令，可以参考linux下的man文档：

        d2server:/home/kerberos# man arp

        ARP欺骗

        我们先复习一下上面所讲的ARP协议的原理。在实现TCP/IP协议的网络环境下，一个ip包走到哪里，要怎么走是靠路由表定义，但是，当ip包到达该网络后，哪台机器响应这个ip包却是靠该ip包中所包含的硬件mac地址来识别。也就是说，只有机器的硬件mac地址和该ip包中的硬件mac地址相同的机器才会应答这个ip包，因为在网络中，每一台主机都会有发送ip包的时候，所以，在每台主机的内存中，都有一个 arp--> 硬件mac 的转换表。通常是动态的转换表（该arp表可以手工添加静态条目）。也就是说，该对应表会被主机在一定的时间间隔后刷新。这个时间间隔就是ARP高速缓存的超时时间。

        通常主机在发送一个ip包之前，它要到该转换表中寻找和ip包对应的硬件mac地址，如果没有找到，该主机就发送一个ARP广播包，于是，主机刷新自己的ARP缓存。然后发出该ip包。

        了解这些常识后，现在就可以谈在以太网络中如何实现ARP欺骗了，可以看看这样一个例子。

        3.1 同一网段的ARP欺骗

        图2 同一网段的arp欺骗

        如图2所示，三台主机

        A: ip地址 192.168.0.1 硬件地址 AA:AA:AA:AA:AA:AA

        B: ip地址 192.168.0.2 硬件地址 BB:BB:BB:BB:BB:BB

        C: ip地址 192.168.0.3 硬件地址 CC:CC:CC:CC:CC:CC

        一个位于主机B的入侵者想非法进入主机A，可是这台主机上安装有防火墙。通过收集资料他知道这台主机A的防火墙只对主机C有信任关系（开放23端口(tel)）。而他必须要使用tel来进入主机A，这个时候他应该如何处理呢？

        我们这样考虑，入侵者必须让主机A相信主机B就是主机C，如果主机A和主机C之间的信任关系是建立在ip地址之上的。如果单单把主机B的ip地址改的和主机C的一样，那是不能工作的，至少不能可靠地工作。如果你告诉以太网卡设备驱动程序， 自己IP是192.168.0.3，那么这只是一种纯粹的竞争关系，并不能达到目标。我们可以先研究C这台机器如果我们能让这台机器暂时当掉，竞争关系就可以解除,这个还是有可能实现的。在机器C当掉的同时，将机器B的ip地址改为192.168.0.3,这样就可以成功的通过23端口tel到机器A上面，而成功的绕过防火墙的限制。

        上面的这种想法在下面的情况下是没有作用的，如果主机A和主机C之间的信任关系是建立在硬件地址的基础上。这个时候还需要用ARP欺骗的手段让主机A把自己的ARP缓存中的关于192.168.0.3映射的硬件地址改为主机B的硬件地址。

        我们可以人为的制造一个arp_reply的响应包,发送给想要欺骗的主机,这是可以实现的,因为协议并没有规定必须在接收到arp_echo后才可以发送响应包.这样的工具很多,我们也可以直接用snifferpro抓一个arp响应包,然后进行修改。

        你可以人为地制造这个包。可以指定ARP包中的源IP、目标IP、源MAC地址、目标MAC地址。

        这样你就可以通过虚假的ARP响应包来修改主机A上的动态ARP缓存达到欺骗的目的。

        下面是具体的步骤：

        他先研究192.0.0.3这台主机，发现这台主机的漏洞。

        根据发现的漏洞使主机C当掉，暂时停止工作。

        这段时间里，入侵者把自己的ip改成192.0.0.3

        他用工具发一个源ip地址为192.168.0.3源MAC地址为BB:BB:BB:BB:BB:BB的包给主机A，要求主机A更新自己的arp转换表。

        主机更新了arp表中关于主机C的ip-->mac对应关系。

        防火墙失效了，入侵的ip变成合法的mac地址，可以tel 了。

        上面就是一个ARP的欺骗过程，这是在同网段发生的情况，但是，提醒注意的是，在B和C处于不同网段的时候，上面的方法是不起作用的。

        3.2 不同网段的ARP欺骗

        图3 不同网段之间的ARP欺骗

        如图3所示A、C位于同一网段而主机B位于另一网段，三台机器的ip地址和硬件地址如下：

        A: ip地址 192.168.0.1 硬件地址 AA:AA:AA:AA:AA:AA

        B: ip地址 192.168.1.2 硬件地址 BB:BB:BB:BB:BB:BB

        C: ip地址 192.168.0.3 硬件地址 CC:CC:CC:CC:CC:CC

        在现在的情况下，位于192.168.1网段的主机B如何冒充主机C欺骗主机A呢？显然用上面的办法的话，即使欺骗成功，那么由主机B和主机A之间也无法建立tel会话，因为路由器不会把主机A发给主机B的包向外转发，路由器会发现地址在192.168.0.这个网段之内。

        现在就涉及到另外一种欺骗方式―ICMP重定向。把ARP欺骗和ICMP重定向结合在一起就可以基本实现跨网段欺骗的目的。

        什么是ICMP重定向呢？

        ICMP重定向报文是ICMP控制报文中的一种。在特定的情况下，当路由器检测到一台机器使用非优化路由的时候，它会向该主机发送一个ICMP重定向报文，请求主机改变路由。路由器也会把初始数据报向它的目的地转发。

        我们可以利用ICMP重定向报文达到欺骗的目的。

        下面是结合ARP欺骗和ICMP重定向进行攻击的步骤：

        为了使自己发出的非法ip包能在网络上能够存活长久一点，开始修改ip包的生存时间ttl为下面的过程中可能带来的问题做准备。把ttl改成255. (ttl定义一个ip包如果在网络上到不了主机后，在网络上能存活的时间，改长一点在本例中有利于做充足的广播)

        下载一个可以自由制作各种包的工具（例如hping2）

        然后和上面一样，寻找主机C的漏洞按照这个漏洞当掉主机C。

        在该网络的主机找不到原来的192.0.0.3后，将更新自己的ARP对应表。于是他发送一个原ip地址为192.168.0.3硬件地址为BB:BB:BB:BB:BB:BB的ARP响应包。

        好了，现在每台主机都知道了，一个新的MAC地址对应192.0.0.3,一个ARP欺骗完成了，但是，每台主机都只会在局域网中找这个地址而根本就不会把发送给192.0.0.3的ip包丢给路由。于是他还得构造一个ICMP的重定向广播。

        自己定制一个ICMP重定向包告诉网络中的主机："到192.0.0.3的路由最短路径不是局域网，而是路由，请主机重定向你们的路由路径，把所有到192.0.0.3的ip包丢给路由。"

        主机A接受这个合理的ICMP重定向，于是修改自己的路由路径，把对192.0.0.3的通讯都丢给路由器。

        入侵者终于可以在路由外收到来自路由内的主机的ip包了，他可以开始tel到主机的23口。

        其实上面的想法只是一种理想话的情况，主机许可接收的ICMP重定向包其实有很多的限制条件，这些条件使ICMP重定向变的非常困难。

        TCP/IP协议实现中关于主机接收ICMP重定向报文主要有下面几条限制：

        新路由必须是直达的

        重定向包必须来自去往目标的当前路由

        重定向包不能通知主机用自己做路由

        被改变的路由必须是一条间接路由

        由于有这些限制，所以ICMP欺骗实际上很难实现。但是我们也可以主动的根据上面的思维寻找一些其他的方法。更为重要的是我们知道了这些欺骗方法的危害性，我们就可以采取相应的防御办法。

        3.3 ARP欺骗的防御

        知道了ARP欺骗的方法和危害，我们给出一些初步的防御方法：

        不要把你的网络安全信任关系建立在ip地址的基础上或硬件mac地址基础上，（rarp同样存在欺骗的问题），理想的关系应该建立在ip+mac基础上。

        设置静态的mac-->ip对应表，不要让主机刷新你设定好的转换表。

        除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。在linux下可以用ifconfig -arp可以使网卡驱动程序停止使用ARP。

        使用代理网关发送外出的通讯。

        修改系统拒收ICMP重定向报文

        在linux下可以通过在防火墙上拒绝ICMP重定向报文或者是修改内核选项重新编译内核来拒绝接收ICMP重定向报文。

        在win2000下可以通过防火墙和IP策略拒绝接收ICMP报文。

        4 代理ARP的应用

        代理ARP有两大应用,一个是有利的就是我们在防火墙实现中常说的透明模式的实现,另一个是有害的就是通过它可以达到在交换环境中进行嗅探的目的.由此可见同样一种技术被应用于不同的目的,效果是不一样的.

        我们先来看交换环境中局域网的嗅探.

        通常在局域网环境中，我们都是通过交换环境的网关上网的。在交换环境中使用NetXray或者NAI Sniffer一类的嗅探工具除了抓到自己的包以外，是不能看到其他主机的网络通信的。

        但是我们可以通过利用ARP欺骗可以实现Sniffer的目的。

        ARP协议是将IP地址解析为MAC地址的协议，局域网中的通信都是基于MAC地址的。

        图4 交换网络中的ARP欺骗

        如图4所示，三台主机位于一个交换网络的环境中，其中A是网关：

        A: ip地址 192.168.0.1 硬件地址 AA:AA:AA:AA:AA

        B: ip地址 192.168.0.2 硬件地址 BB:BB:BB:BB:BB

        C：ip地址 192.168.0.3 硬件地址 CC:CC:CC:CC:CC

        在局域网中192.168.0.2和192.168.0.3都是通过网关192.168.0.1上网的，假定攻击者的系统为192.168.0.2，他希望听到192.168.0.3的通信，那么我们就可以利用ARP欺骗实现。

        这种欺骗的中心原则就是arp代理的应用.主机A是局域网中的代理服务器,局域网中每个节点的向外的通信都要通过它.主机B想要听主机C的通信,它需要先使用ARP欺骗,让主机C认为它就是主机A,这个时候它发一个IP地址为192.168.0.1,物理地址为BB:BB:BB:BB:BB:BB的ARP响应包给主机C,这样主机C会把发往主机A的包发往主机B.同理,还要让网关A相信它就是主机C,向网关A发送一个IP地址为192.168.0.3,物理地址为BB:BB:BB:BB:BB:BB的包.

        上面这一步的操作和前面的ARP欺骗的原理是一样的,但是还是有问题,过一段时间主机B会发现自己无法上网.所以下面还有一个步骤就是需要在主机B上转发从主机A到主机C的包,并且转发从主机C到主机A的包.现在我们可以看到其实主机B在主机A和主机C的通讯中起到了一个代理的作用,这就是为什么叫做ARP代理的原因.

        具体实现要用到两个工具dsniff和fragrouter,dsniff用来实现ARP欺骗,fragroute用来进行包的转发.

        首先利用dsniff中的arpspoof来实现ARP欺骗,dsniff软件可以在下面的网址下载:

        naughty.monkey/~dugsong/dsniff

        安装这个软件包之前先要下载安装lib.

        欺骗192.168.0.3，告诉这台机器网关192.168.0.1的MAC地址是192.168.0.2的MAC地址.

        [root@sound dsniff-2.3]# ./arpspoof -i eth0 -t 192.168.0.3 192.168.0.1欺骗192.168.0.1，告诉192.168.0.1主机192.168.0.3的MAC地址是192.168.0.2的MAC地址。

        [root@sound dsniff-2.3]# ./arpspoof -i eth0 -t 192.168.0.1 192.168.0.3现在我们已经完成了第一步的欺骗,这个欺骗是通过arpspoof来完成的,当然您也可以使用别的工具甚至自己发包来完成.现在我们可以看到在主机A和主机C的arp列表里面都完成了我们需要的工作.在后面的透明代理中我们将使用另外一种不同的理念.

        下面我们先打开linux系统中的转发包的选项:

        [root@sound /root]# echo "1" >/proc/sysipv4/ip_forward下面我们可以下载大名鼎鼎的dugsong的另外一个工具fragroute,这个工具以前叫做fragrouter(仅有1字的差别)主要用于实现入侵检测系统处理分片的ip和tcp包功能的检测,本身自代包转发的功能.可以到下面的网站下载:

        monkey/~dugsong/fragroute/

        安装这个软件包之前先要下载安装libpcap和libevent.

        当然我们也可以使用fragrouter来完成:

        packetstormsecurity/groups/ w00w00/sectools/fragrouter/

        [root@sound fragrouter-1.6]# ./fragrouter -B1

        fragrouter: base-1: normal IP forwarding

        现在就可以实现在交换局域网中嗅探的目标.当然上面这些只是一些原理性的介绍,在真正的使用中会遇到很多的问题,比如如何实现对网关A和主机C的欺骗,以及如何处理可能出现的广播风暴问题,这些可以在实践中学习.还有一个叫arpsniff的工具能够很方便的完成这一功能,很多网站都提供下载,界面比较友好,由于和上面的原理一样,只是工具使用上的不同并且添加了一些附加的功能,所以这里不在进行介绍.

        代理ARP的另外一个应用就是防火墙的透明代理的实现.我们都知道早期的防火墙大都是基于路由模式,也就是防火墙要完成一个路由的作用.这种接入方式需要在局域网内的主机上设置防火墙的IP为代理,而且需要在外部路由器的路由表中加入一条指向防火墙的路由.这种方式的缺点在于不透明,需要进行过多的设置,并且破坏了原有的网络拓扑.所以现在几乎全部的防火墙都实现了一种透明接入的功能,用户的路由器和客户端不用做任何修改,用户甚至感觉不到透明接入方式防火墙的存在.这种透明接入的原理就是ARP代理.

        我们现在看如何配置一台主机作为透明接入模式的防火墙(透明接入的防火墙不需要IP),

        图5

        如图5所示,一台防火墙连接内部网段和DMZ网段到外部路由.我们在这台用作防火墙的主机上使用linux操作系统,这样我们可以方便的使用iptables防火墙.假设三块网卡为eth0,eth1和eth2,eth0和路由器相连,eth1和内网相连.eth2和外网相连.假设DMZ区有2台服务器.

        内网地址:192.168.1.0/24

        DMZ地址:192.168.1.2---192.168.1.3

        路由器的ip地址:192.168.1.1

        eth0:AA:AA:AA:AA:AA:AA

        eth1:BB:BB:BB:BB:BB:BB

        eth2:CC:CC:CC:CC:CC:CC

        和前面差不多,第一步需要实现ARP欺骗,这次我们有个简单的实现.我们把路由器的IP地址和防火墙的eth1和eth2的网卡物理地址绑定,将内网和DMZ网段的IP地址和eth0的网卡绑定,在linux系统上我们用arp命令实现:

        arp -s 192.168.1.1 BB:BB:BB:BB:BB:BB

        arp -s 192.168.1.1 CC:CC:CC:CC:CC:CC

        arp -s 192.168.1.0/24 AA:AA:AA:AA:AA:AA

        第二部我们需要在基于linux的防火墙上设置路由,把目标地址是外部路由的包转发到eth0,把目标地址为内网的包转发到eth1,把目标地址是DMZ网段服务器的包转发到eth2.在linux下面用route命令实现

        route add 192.168.1.1 dev eth0

        route add - 192.168.1.0/24 dev eth1

        route add 192.168.1.2 dev eth2

        route add 192.168.1.3 dev eth3

        (针对DMZ网段里面的每台服务器都要增加一条单独的路由) 现在我们就已经实现了一个简单的arp代理的透明接入,当然对应于防火墙的iptables部分要另外配置,iptables的配置不在本文范畴之内.

        小结

        本文介绍了ARP协议以及与其相关的安全问题。一个重要的安全问题就是ARP欺骗，我们讲到了同一网段的ARP欺骗以及跨网段的ARP欺骗和ICMP重定向相结合的方法。由于有这些安全问题的存在，我们给出一些最基本的解决办法。最后谈到了利用代理ARP实现在交换网络中嗅探和防火墙的透明接入。

       今天的讨论已经涵盖了“arp防火墙是什么”的各个方面。我希望您能够从中获得所需的信息，并利用这些知识在将来的学习和生活中取得更好的成果。如果您有任何问题或需要进一步的讨论，请随时告诉我。