解決網(wǎng)絡(luò)中常見(jiàn)的ARP攻擊行為：Address Resolution Protocol攻擊是一種非常惡劣的網(wǎng)絡(luò)攻擊行為，他會(huì)造成網(wǎng)絡(luò)不穩(wěn)定，引發(fā)用戶(hù)無(wú)法上網(wǎng)或者企業(yè)斷網(wǎng)導(dǎo)致重大生產(chǎn)事故，而且利用Address Resolution Protocol 攻擊還可能會(huì)通過(guò)進(jìn)一步實(shí)施攻擊來(lái)非法獲取游戲、網(wǎng)銀、文件服務(wù)等系統(tǒng)的帳號(hào)和口令，使被攻擊者造成利益上的重大損失。

所以，怎么樣才能解決網(wǎng)絡(luò)中常見(jiàn)的Address Resolution Protocol攻擊行為呢？下面給大家介紹種H3C提出的較為完整的解決方案。

解決方案

如圖4所示，Address Resolution Protocol攻擊防范技術(shù)的思路是以設(shè)備角色為線索，通過(guò)分析二三層網(wǎng)絡(luò)設(shè)備可能會(huì)面對(duì)哪些類(lèi)型的攻擊，從而提供有效的防范措施。

攻擊源一般來(lái)自于主機(jī)側(cè)，因此接入交換機(jī)在Address Resolution Protocol攻擊防范中是一個(gè)關(guān)鍵的控制點(diǎn)。針對(duì)攻擊的特點(diǎn)，接入交換機(jī)上的防范主要從兩個(gè)方面考慮：

1. 建立正確的 Address Resolution Protocol 映射關(guān)系、檢測(cè)并過(guò)濾偽造的 Address Resolution Protocol 報(bào)文，保證經(jīng)過(guò)其轉(zhuǎn)發(fā)的 ARP報(bào)文正確合法。

2. 抑制短時(shí)間內(nèi)大量 Address Resolution Protocol報(bào)文的沖擊。

由于防范措施部署在接入側(cè)，因此無(wú)需在網(wǎng)關(guān)上部署，可以減輕網(wǎng)關(guān)負(fù)擔(dān)。

如果接入交換機(jī)上不支持Address Resolution Protocol攻擊防范功能，或者主機(jī)直接接入網(wǎng)關(guān)，則需要在網(wǎng)關(guān)上部署防范措施，部署思路從兩個(gè)方面考慮：

• 建立正確的 Address Resolution Protocol表項(xiàng)，防止攻擊者修改。

• 抑制短時(shí)間內(nèi)大量 ARP報(bào)文或者需觸發(fā) Address Resolution Protocol解析的 IP報(bào)文的沖擊。

直接在網(wǎng)關(guān)上進(jìn)行部署對(duì)接入交換機(jī)的依賴(lài)較小，可以較好的支持現(xiàn)有網(wǎng)絡(luò)，有效地保護(hù)用戶(hù)投資。