解決網(wǎng)絡(luò)中常見的ARP攻擊行為：Address Resolution Protocol攻擊是一種非常惡劣的網(wǎng)絡(luò)攻擊行為，他會造成網(wǎng)絡(luò)不穩(wěn)定，引發(fā)用戶無法上網(wǎng)或者企業(yè)斷網(wǎng)導(dǎo)致重大生產(chǎn)事故，而且利用Address Resolution Protocol 攻擊還可能會通過進(jìn)一步實施攻擊來非法獲取游戲、網(wǎng)銀、文件服務(wù)等系統(tǒng)的帳號和口令，使被攻擊者造成利益上的重大損失。

所以，怎么樣才能解決網(wǎng)絡(luò)中常見的Address Resolution Protocol攻擊行為呢？下面給大家介紹種H3C提出的較為完整的解決方案。

解決方案

如圖4所示，Address Resolution Protocol攻擊防范技術(shù)的思路是以設(shè)備角色為線索，通過分析二三層網(wǎng)絡(luò)設(shè)備可能會面對哪些類型的攻擊，從而提供有效的防范措施。

攻擊源一般來自于主機(jī)側(cè)，因此接入交換機(jī)在Address Resolution Protocol攻擊防范中是一個關(guān)鍵的控制點。針對攻擊的特點，接入交換機(jī)上的防范主要從兩個方面考慮：

1. 建立正確的 Address Resolution Protocol 映射關(guān)系、檢測并過濾偽造的 Address Resolution Protocol 報文，保證經(jīng)過其轉(zhuǎn)發(fā)的 ARP報文正確合法。

2. 抑制短時間內(nèi)大量 Address Resolution Protocol報文的沖擊。

由于防范措施部署在接入側(cè)，因此無需在網(wǎng)關(guān)上部署，可以減輕網(wǎng)關(guān)負(fù)擔(dān)。

如果接入交換機(jī)上不支持Address Resolution Protocol攻擊防范功能，或者主機(jī)直接接入網(wǎng)關(guān)，則需要在網(wǎng)關(guān)上部署防范措施，部署思路從兩個方面考慮：

• 建立正確的 Address Resolution Protocol表項，防止攻擊者修改。

• 抑制短時間內(nèi)大量 ARP報文或者需觸發(fā) Address Resolution Protocol解析的 IP報文的沖擊。

直接在網(wǎng)關(guān)上進(jìn)行部署對接入交換機(jī)的依賴較小，可以較好的支持現(xiàn)有網(wǎng)絡(luò)，有效地保護(hù)用戶投資。