为什么要做ARP绑定
为什么要做ARP绑定？
什么是ARP绑定？
该如何做ARP绑定？
ARP绑定命令，另一用法？
起因
从九月开始我的几个网络就开始出现不同程度的中毒，这几个网络都是相互独立的，无任何联系。经过初步的分析确定是ARP欺骗，由于所有的机器都有还原系统，从启所有的机器，网络暂时恢复正常，以为事情就这样过去了，谁知该问题，并没有随着机器的重新启动而消失。真正引起我注意的是，有一台服务器只提供简单的文件共享服务，和一个与公网进行文件传输的服务，并且这台服务器已经N天没有去动过了，就这样的一台服务器也中毒了，并且中的毒与客户中的是一样的，主要表现为，打开网站时，如果注意的话，查看网页的原文件就会发现在源代码的第一行插入一段代码，这段代码是指向一个网页（ ），并且这个网页并不是固定不变的，每次病毒爆发时，看到的都会改变。用任务管理器查看机器的进程，有很多奇怪的进程，除了拖慢机器速度，发生ARP欺骗，对系统本身也不会造成什么破坏。事情到这了这个情况，偶就开始动用杀毒软件，这其中主要使用的工具有：NOD32，麦咖啡，norton，恶意软件清理助手，360安全助手，process explorer，autoruns，hijackthis等，在系统里一个病毒都没发现，真是郁闷啊，更离谱的是，偶就让病毒在机器里运行，动用以上3个杀软，竟然没有报一个内存病毒或者是木马的，不得不汗一个。到是把偶的几个正常程序误报成是病毒了。
这是问题的出现与诊断，下面说说处理的结果。
到了这个地步似乎问题进入了死角，这里排除客户上网中的病毒，其实这些病毒就是有客户上网中的，即使是ARP欺骗的话，也只是影响整个网络，不会出现网络种每台机器打开IE上网时，出现我上面说的情况。就是因为这个原因促使我一定要找到问题的原因，也是因为这个，不找到原因，也就意味着我的网络永远也正常不起来。
这期间也求助过维护公司，维护公司给的答复是，他们也接到过这样的求助电话，也在探索阶段。最后与一技术员研究了2、3天，才找到答案。先不急着说解决方法，先来谈谈这个ARP为什么能够做到在网内每台机器上网时都能中病毒。
说说偶的网络环境，路由ROUTE OS ，客户XP，并且做了路由的MAC地址实时绑定，也就是说有病毒修改了绑定项目，会被绑定软件马上修改成正确的。
这时，想起来在路由上查看ARP的列表，果然是不查不知道，一查吓一跳，ARP列表显示客户机所有的MAC地址都一样，或者就是那么几个同样的MAC。问题够清楚了，很显然这个ARP病毒在做两面欺骗，一面是欺骗客户机说路由的MAC地址改变，很显然没成功，因为说过了客户机做个MAC绑定。一面是在欺骗路由器，说以下IP地址的MAC地址是多少多少，其实就是中毒机器的真实MAC地址，然后中毒机器再伪装成路由器。当客户机发放送到路由器的数据同时也发往了中毒机器，当路由器往客户机发数据时，就直接发到了中毒的机器，然后由中毒的机器转发到其他的客户机。在数据经过中毒机器时，并不是向路由器那样直接做策略判断然后就转发了，而是分析数据包然后向数据包里插入上面提到到的恶意网页连接，从而达到通过IE下载病毒并运行病毒的目的。这类分析对HTTS等加密数据包似乎无效。在这里出现了一个搞笑的事情。越是性能优越的计算机与性能优越的网络，这样的病毒得逞的几率就越大，为什么了，因为优越的计算机性能，会给病毒在在数据包的分析，插入，修改，转发操作上提供更快的处理速度，这时ping内网到路由器的延迟大概在5ms以下，正常的网络会小于1MS，偶碰到最厉害时的延迟是5000MS。如果PC的性能很差，当遇到大的数据涌过来时，就会导致掉线，甚至自己死机，这时的性能下降到比路由还差，给
路由广播创造了良好的环境得以纠正错误的MAC地址。事实证明的确是这样，因为我这里有4个独立网络，其中2个独立网络是几年前的组建的，另外2个是最近1年内组建的并且是千M骨干网络，高性能的PC机。但这两个网络病毒爆发的最厉害。另外两个老的网络相对来说低很多，几乎感觉不出来网络中存在病毒。
下面来说说偶的最终解决办法
既然问题已经查的很明白了，就开始解决吧，怎么解决，对付ARP病毒最有效的解决办法是，双向绑定。这就回答了，文章开头提到的为什么要做绑定。
看看什么是双向绑定？
双向绑定是客户计算机绑定网关设备的MAC地址与IP地址对应关系，并在路由上绑定所有客户机的MAC地址与IP地址对应关系。
这里要说明一下，为什么有的人说我也做了双向绑定但仍然会出现掉线了。因为你并没有关闭路由的MAC地址学习功能。这时，病毒可以在路由的这里做单向欺骗，只要中毒的机器发包的速率比路由快，你就有可能还是遭到ARP的攻击，这里只是说有可能。有的朋友在使用ROUTE OS，做MAC绑定时，喜欢把网卡的ARP功能设置成reply-only,意思是说，路由只回复请求路由MAC的数据包，不主动发送广播了。其实设置这个，我到是觉得还不如不去改变设置，最起码路由还会主动广播正确的MAC地址，网内被欺骗的机器还有机会该过来，如果设置成repy-only的话，被欺骗的机器改过的机会都没有了。所以干脆点直接设置Disable。让新进入到网络机器不能获取到路由的MAC，必须要手动指定或时通过软件指定，给ARP病毒制造点麻烦。开句玩笑，我不好过，ARP病毒你小样，我让你也不好过。哈哈。
既然已经提到了，绑定可以解决此问题，那么我们要怎么做绑定了，路由端，这里以ROUTEOS 为例，用winbox登陆路由，执行以下一段脚本就会自动绑定当前ARP列表中存在的IP地址与MAC地址。也就是说这些机器都与路由正在通讯。没通讯的机器不在此列表。脚本内容:foreach i in [/ip arp find dynamic yes ] do={/ip arp add copy-from $i} 前面的冒号也是脚本内容的一部分。在winbox中如何运行这个脚本，定位到菜单system\\scripts\\+ 加号的意思是，新建立一个脚本。在source文本框中输入脚本的内容，点OK，这时脚本保存成功，可以点上面的RUN script，按钮执行脚本。
上面提到了，不在ARP列表中的机器是不被绑定的，这时就需要打开ip\\arp\\+ 一条条的添加，在接口选择时，一定要选择内网的接口。并关闭路由的MAC学习功能，interface\\选择内网网卡\\arp 在下拉列表中选择Disable。这里需要注意的时，当执行完这个脚本时路由器公网网关的MAC也做了静态的绑定，这样的话，万一ISP换了我们线路的接口，这样MAC地址就改变了，我们也就掉线了，这时手动的把该条绑定策略删除掉。
说下客户机的绑定，很简单看命令
@echo off
arp -d
arp -s 网关IP地址网关MAC地址，注意中间有空格。
把这几条命令输入到记事本，保存为bat文件。并放到系统的系统项目里，达到开机启动的目的。现在这样功能的软件也很多，使用起来也很方便，并且都是做实时绑定的，效果更佳。
下面来看看ARP的另一用法，我想用到的朋友不多，但会有朋友遇到这样的问题。
起因
当所有的客户机都顺利的进行绑定后，这时，偶去做服务器的绑定。运行命令后，结果与预料中的不一样。why？
说下服务器的网络环境，很简单，由于服务所需，配置了双网卡，两个网卡的IP地址是同一网段的，并且都设置了网关。说到这里有朋友也许会问，两块网卡能同时设置网关地址吗？答是肯定可以的，无论是同一IP段的，还是不同IP段的不同网关地址都可以设置，只是在设置时，会报一个警告的窗口，不理他，继续我们的设置。据MS的官方说，会引起一些未知的问题，但偶用到现在，还没发现问题，这里说的ARP -s绑定不偶预料的那样与这无关，因为最后我把另外一个网卡上的网关设置删除掉了，情况依旧。到底与预料中的差别何在？
因为只是简单的执行arp -s绑定后，我们无法确定这个绑定是在哪一个接口上生效的，并且也是不固定，例如我们想绑定在1接口上，有可能他就会绑定到了2接口上。
当然有解决此问题的方法了。来看下ARP输出的帮助信息
Displays and modifies the IP-to-Physical address translation tables used by
address resolution protocol (ARP).
ARP -s inet_addr eth_addr [if_addr]
ARP -d inet_addr [if_addr]
ARP -a [inet_addr] [-N if_addr]
-a Displays current ARP entries by interrogating the current
protocol data. If inet_addr is specified, the IP and Physic
addresses for only the specified computer are displayed. If
more than one network interface uses ARP, entries for each A
table are displayed.
-g Same as -a.
inet_addr Specifies an internet address.
-N if_addr Displays the ARP entries for the network interface specified
by if_addr.
-d Deletes the host specified by inet_addr. inet_addr may be
wildcarded with * to delete all hosts.
-s Adds the host and associates the Internet address inet_addr
with the Physical address eth_addr. The Physical address is
given as 6 hexadecimal bytes separated by hyphens. The entry
is permanent.
eth_addr Specifies a physical address.
if_addr If present, this specifies the Internet address of the
interface whose address translation table should be modified
If not present, the first applicable interface will be used.
Example:
> arp -s 157.55.85.212 00-aa-00-62-c6-09 .... Adds a static entry.
> arp -a .... Displays the arp table.
ARP -s inet_addr eth_addr [if_addr] 其中[if_addr]表示该条命令执行后将会在哪一个接口上生效。例如我要在IP为192.168.0.1 的接口上绑定网关的IP与MAC对应关系，那么命令可写做为
ARP -s 192.168.0.254 00-14-17-df-09-7e 192.168.0.1
这里网关IP地址MAC信息，都是假设的，这样即可。如果想在两个接口上都做绑定，简单，只要再输入一条这样命令，改变下接口IP地址即可。
以下是关于ARP问题中的几个工具。
sysArp.rar 底层过滤驱动，需要安装到系统中的，安装方法，打开网络属性\\安装\\服务\\添加\\服务公布协议\\从磁盘安装\\找到该压缩包解压文件夹中的netFilter.inf文件，一路确定下来，安装成功后
在“本地连接”属性中能够看到PW TCP/UDP 的项目
防arp简单方法-静态绑定网关(整理)
静态绑定网关MAC 简单方法：手工绑定： (1).确定用户计算机所在网段 (2).查出用户网段网关IP (3).根据网关IP查出用户网段网关Mac，本地查询: (4).用命令arp -s 网关IP 网关MAC静态绑定网关IP和MAC 举例: (1).确定用户计算机所在网段 开始->程序->附件->命令提示符,打开命令提示符窗口,输入ipconfig命令，查出用户正常分配到的IP地址： 本机IP: 10.13.2.62 网关IP: 10.13.2.254 (2).IP为10.13.3.254 的网关的MAC地址为00-0b-46-01-01-00 (4).在命令提示符窗口中输入以下命令 arp –d //清空ARP缓存 arp -s 10.13.2.254 00-0b-46-01-01-00 //静态绑定网关MAC地址arp –a //查看ARP缓存记录
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝ 由于手工绑定在计算机关机重启后就会失效，需要再次重新绑定 可以采用批处理的方式，完成上述步骤，同时使之开机运行即可 使用arp命令静态绑定网关MAC，格式如下： arp －s 网关IP 网关MAC 如果觉得每次手动输入比较复杂，您可以编写一个简单的批处理文件然后让它每次开机时自动运行， 批处理文件如下： ----------------------------------- @echo off echo 'arp set' arp -d arp －s 网关IP 网关MAC exit ------------------------------------
华为怎么配置配置ARP
配置配置ARP 组网需求 如图所示，Switch的接口GE0/0/1通过LAN Switch（即LSW）连接主机，接口GE0/0/2通过路由器Router连接Server。要求： GE0/0/1属于VLAN2，GE0/0/2属于VLAN3。 为了适应网络的快速变化，保证报文的正确转发，在Switch的接口VLANIF2上配置动态ARP 的参数。 为了保证Server的安全性，防止非法ARP报文的侵入，在Switch的接口GE0/0/2上增加一个静态ARP表项，Router的IP地址为10.2.2.3，对应的MAC地址为00e0-fc01-0000。 配置思路 ARP的配置思路如下： 创建VLAN，并将接口加入到VLAN中。 配置用户侧VLANIF接口的动态ARP的参数。 配置静态ARP表项。 数据准备 为完成此配置示例，需准备如下的数据： 接口GE0/0/1属于VLAN2，接口GE0/0/2属于VLAN3。 接口VLANIF2的IP地址为2.2.2.2，子网掩码为255.255.255.0。ARP表项老化时间为60秒，老化探测次数为2次。
LSW的IP地址为2.2.2.1,子网掩码为255.255.255.0。 Router与Switch对接的接口IP地址为10.2.2.3，子网掩码为255.255.255.0，对应的MAC 地址为00e0-fc01-0000。 操作步骤 创建VLAN，并将接口加入到VLAN中。 # 创建VLAN2和VLAN3。
ARP静态绑定批处理文件脚本详细讲解
ARP静态绑定批处理文件脚本详细讲解 网上流传了很多对付ARP欺骗的批处理脚本，本文是对比较流行的一个脚本加以注释和讲解，希望对广大51CTO网友和网管员有用。 网上流传了很多对付ARP欺骗的批处理脚本，本文是对比较流行的一个脚本加以注释和讲解，希望对广大51CTO网友和网管员有用。原批处理文件如下： @echo off if exist ipconfig.txt del ipconfig.txt ipconfig /all >ipconfig.txt if exist phyaddr.txt del phyaddr.txt find "Physical Address" ipconfig.txt >phyaddr.txt for /f "skip=2 tokens=12" %%M in (phyaddr.txt) do set Mac=%%M if exist IPAddr.txt del IPaddr.txt find "IP Address" ipconfig.txt >IPAddr.txt for /f "skip=2 tokens=15" %%I in (IPAddr.txt) do set IP=%%I arp -s %IP% %Mac% del ipaddr.txt del ipconfig.txt del phyaddr.txt exit 现在以//开头的为我的解释 @echo off //关闭命令回显
if exist ipconfig.txt del ipconfig.txt //如果存在ipconfig.txt 这个文件就对其进行删除 ipconfig /all >ipconfig.txt //把ipconfig /all 命令的显示结果写入ipconfig.txt if exist phyaddr.txt del phyaddr.txt //如果存在phyaddr.txt 这个文件就对其进行删除 find "Physical Address" ipconfig.txt >phyaddr.txt //在ipconfig.txt 文件里查找Physical Address 字段的内容并将其字段内容写入phyaddr.txt for /f "skip=2 tokens=12" %%M in (phyaddr.txt) do set Mac=%%M //在phyaddr.txt 文件中从第一行象下跳两行，也就是从第三行开始，从第12个符号处取值，并把该值设置成MAC 变量，举个例子：Physical Address. . . . . . . . . : 00-E0-FC-0C-A8-4F，每一个连续的数值为一个符号 符号1：Physical 符号2：Address. 符号3：. 符号4：. 符号5：. 符号6：. 符号7：. 符号8：. 符号9：.
ARP绑定网关及批处理
ARP绑定网关及批处理 一.WINDOWS下绑定ARP绑定网关 步骤一： 在能正常上网时，进入MS-DOS窗口，输入命令：arp －a，查看网关的IP对应的正确MA C地址，并将其记录下来。 注意：如果已经不能上网，则先运行一次命令arp －d将arp缓存中的内容删空，计算机可暂时恢复上网（攻击如果不停止的话）。一旦能上网就立即将网络断掉（禁用网卡或拔掉网线），再运行arp －a。 步骤二： 如果计算机已经有网关的正确MAC地址，在不能上网只需手工将网关IP和正确的MAC地址绑定，即可确保计算机不再被欺骗攻击。 要想手工绑定，可在MS-DOS窗口下运行以下命令： arp －s 网关IP 网关MAC 例如：假设计算机所处网段的网关为192.168.1.1，本机地址为192.168.1.5，在计算机上运行arp －a后输出如下： Cocuments and Settings>arp -a Interface:192.168.1.5 --- 0x2 Internet Address Physical Address Type 192.168.1.1 00-01-02-03-04-05 dynamic 其中，00-01-02-03-04-05就是网关192.168.1.1对应的MAC地址，类型是动态（dynamic）的，因此是可被改变的。 被攻击后，再用该命令查看，就会发现该MAC已经被替换成攻击机器的MAC。如果希望能找出攻击机器，彻底根除攻击，可以在此时将该MAC记录下来，为以后查找该攻击的机器做准备。 手工绑定的命令为： arp －s 192.168.1.1 00-01-02-03-04-05 绑定完，可再用arp －a查看arp缓存： Cocuments and Settings>arp -a Interface: 192.168.1.5 --- 0x2 Internet Address Physical Address Type 192.168.1.1 00-01-02-03-04-05 static 这时，类型变为静态（static），就不会再受攻击影响了。 但是，需要说明的是，手工绑定在计算机关机重启后就会失效，需要再次重新绑定。所以，要彻底根除攻击，只有找出网段内被病毒感染的计算机，把病毒杀掉，才算是真正解决问题。作批处理文件 在客户端做对网关的arp绑定，具体操作步骤如下： 步骤一： 查找本网段的网关地址，比如192．168．1．1，以下以此网关为例。在正常上网时，“开始→运行→cmd→确定”，输入：arp －a，点回车，查看网关对应的Physical Address。 比如：网关192.168.1.1 对应00－01－02－03－04－05。 步骤二： 编写一个批处理文件rarp.bat，内容如下：
ARP解决方案及配置
ARP解决方案及配置 目录 第1章防ARP攻击功能介绍1-1 1.1 ARP攻击简介1-1 1.2 ARP攻击防御1-3 1.2.2 DHCP Snooping功能1-3 1.2.3 ARP入侵检测功能1-4 1.2.4 ARP报文限速功能1-4 1.3 防ARP攻击配置指南1-5 第2章配置举例2-1 2.1 组网需求2-1 2.2 组网图2-2 2.3 配置思路2-2 2.4 配置步骤2-3 2.5 注意事项2-6 防ARP攻击配置举例 关键词：ARP、DHCP Snooping 摘要：本文主要介绍如何利用以太网交换机DHCP监控模式下的防ARP攻击功能，防止校园网中常见的“仿冒网关”、“欺骗网关”、“欺骗终端用户”、ARP泛洪等攻击形式。同时，详细描述了组网中各个设备的配置步骤和配置注意事项，指导用户进行实际配置。 缩略语：ARP（Address Resolution Protocol，地址解析协议） MITM（Man-In-The-Middle，中间人攻击） 第1章防ARP攻击功能介绍 近来，许多校园网络都出现了ARP攻击现象。严重者甚至造成大面积网络不能正常访问外网，学校深受其害。H3C公司根据校园网ARP攻击的特点，给出了DHCP监控模式下的防ARP攻击解决方案，可以有效的防御“仿冒网关”、“欺骗网关”、“欺骗终端用户”、“ARP中间人攻击”、“ARP 泛洪攻击”等校园网中常见的ARP攻击方式；且不需要终端用户安装额外的客户端软件，简化了网络配置。 1.1ARP攻击简介 按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。 校园网中，常见的ARP攻击有如下几中形式。 (1)仿冒网关 攻击者伪造ARP报文，发送源IP地址为网关IP地址，源MAC地址为伪造的MAC地址的ARP报文给被攻击的主机，使这些主机更新自身ARP表中网关IP地址与MAC地址的对应关系。这样一来，主机访问网关的流量，被重定向到一个错误的MAC地址，导致该用户无法正常访问外网。 图1-1 “仿冒网关”攻击示意图 (2)欺骗网关
图解ASA防火墙上进行ARP绑定
图解ASA防火墙上进行ARP绑定(图) 目前我公司使用的网络全是静态IP地址，在公司里面有一台ASA5505防火墙，应领导要求，在该防火墙上面要限制某部份用户不能使用某些应用（如QQ农场等），而领导的计算机不做任何限制。为了实现这些功能，我们需要在ASA 5505防火墙上面做ARP绑定，然后再使用访问控帛列表来对这些IP地址与MAC地址进行限制。具体配置很简单，那么下面就带大家一起来看看如何在ASA 5500防火墙上面配置ARP绑定呢？ 很简单的几条命令，我们就实现将下面PC的IP地址与MAC地址进行绑定了。下面我们来测试一下看看。刚才上面的IP地址与MAC地址是我笔记本无线网卡的IP地址与MAC地址（如下图）。 我们ping 192.168.0.199（防火墙内网接口地址）看看能否正常通信。
从上图我们可以看见，通过我们的无线网卡能够正常的去与我们防火墙内部接口正常通信。那么下面我将我无线网卡上面的IP地址换至有线网卡上面再测试，这样我有线网卡的MAC地址就不能与防火墙上面设置的MAC 地址匹配（如下图）。 那么我们现在再来看看能不能正常进行通信呢（如下图） 从这里我们可以很明显的看见，他不能与我们防火墙进行通信，而这样就已经实现了IP地址与MAC地址对应以后才能正常通过防火墙出去。但是这样有一点我们大家很容易忽略的，就是我们只将我们需要用的地址进行IP与MAC绑定，而其他没有用的就没有绑，那么人有使用没有绑定IP地址与MAC地址的IP去访问互联网，是能够正常出去的。下面我们来试试，我现在将我的IP地址改成192.168.0.2，这个IP地址在我当前的网络中是没有使用的，在防火墙上面也没有对该IP地址进行MAC地址绑定。 这时候我们再ping一下防火墙的内网接口地址看看能否正常通信呢？
网卡ARP静态开机绑定
通过NETSH命令解决网卡ARP学习不正常的案例 设备配置： 服务器端双网卡配置，ETH0 IP 192.168.8.253 255.255.255.0；ETH1 IP 10.3.0.8 255.255.255.0。所接设备为三台基站设备（服务器到基站由于传输需要经过两台交换机，一对光电转换），IP地址分别为192.168.8.112、192.168.8.113、192.168.8.114。服务器及基站均为静态固定IP。 故障表现： 网卡正常工作一段时间后，三台基站会相继掉线（三台基站不是同时掉），通过抓包软件，发现服务器能收到基站的广播包，但无法PING通，服务器运行arp -a 发现ETH0 网卡ARP表中丢失基站的映射信息。 通过常规手段在服务器运行ARP –S 192.168.8.X XX-XX-XX-XX-XX-XX后，提示命令无法执行。 故障分析： 重启基站/交换机后，基站与服务器能PING通，但过段时间后，仍会相断掉线，排除是基站设备和交换机的问题导致。故障定位于服务器所接网卡问题，但目前仍无得出是什么问题导致网卡的ARP学习不正常。 故障排除： 在服务器上运行命令netsh I I show in得到192.168.8.253所在的网卡IDX号 如图所示，ETH0所对应的IDX 为11 新建一个批处理文件导入服务器启动项，编辑以下信息并保存后，重启服务器 netsh -c "i i" add neighbors 11 192.168.8.112 基站MAC地址(格式为XX-XX-XX-XX-XX-XX）netsh -c "i i" add neighbors 11 192.168.8.113基站MAC地址(格式为XX-XX-XX-XX-XX-XX）netsh -c "i i" add neighbors 11 192.168.8.114基站MAC地址(格式为XX-XX-XX-XX-XX-XX）
华为交换机 01-02 ARP配置
2 ARP配置关于本章 ARP（Address Resolution Protocol）是一种地址解析协议。通过ARP协议，建立IP地 址与MAC地址之间的映射，实现以太网数据帧在物理网络中的传送。 2.1 ARP概述 ARP提供了一种将IP地址解析为MAC地址的解析机制，是以太网通信的基础。 2.2 设备支持的ARP特性 ARP可以分为静态和动态两种。设备还支持一些扩展ARP的应用，比如Proxy ARP、出 口ARP检测EAI(Egress ARP Inspection)功能以及配置IP地址冲突检测功能。 2.3 缺省配置 介绍ARP相关参数的缺省配置。 2.4 配置静态ARP 配置静态ARP表项可以增加通信的安全性。 2.5 优化动态ARP ARP表项动态学习是主机和交换机本身就具有的功能，并且设备的缺省状态即为ARP表 项动态学习，不需要使用命令启动此功能。但根据网络需要，用户可以调整动态ARP 的一些参数。 2.6 配置Proxy ARP 交换机可以作为ARP请求中目标主机的代理，代为回答一些特殊情况下不可达的ARP请 求。 2.7 配置出口ARP检测功能 配置出口ARP检测功能，设备可以限制ARP报文的转发范围，防止ARP报文在VLAN内 广播，减小了VLAN内的网络负荷。 2.8 配置IP地址冲突检测功能 配置IP地址冲突检测功能，设备可以通过ARP报文检测网络中存在的IP地址冲突。 2.9 维护ARP 维护ARP包括清除ARP表项、监控ARP运行状况。 2.10 配置举例 配置示例中包括组网需求、配置思路等。
2.1 ARP概述 ARP提供了一种将IP地址解析为MAC地址的解析机制，是以太网通信的基础。 当主机或其它网络设备有数据要发送给另一个主机或设备时，它需要知道对方的网络 层地址（即IP地址）。但是仅有IP地址是不够的，IP数据报文必须封装成帧才能通过物 理网络发送，因此发送方还必须有接收方的物理地址，这就需要一个从IP地址到物理 地址的映射。地址解析协议ARP（Address Resolution Protocol）可以将IP地址解析为 MAC地址。 2.2 设备支持的ARP特性 ARP可以分为静态和动态两种。设备还支持一些扩展ARP的应用，比如Proxy ARP、出 口ARP检测EAI(Egress ARP Inspection)功能以及配置IP地址冲突检测功能。 动态ARP和静态ARP对比 ARP表项分为动态ARP表项和静态ARP表项。动态ARP和静态ARP的概念、表项生成与 维护情况和应用场景如表2-1所示。 表2-1动态ARP与静态ARP对比表 ARP支持的扩展应用 ARP还支持扩展应用，如表2-2所示。
H3C防ARP解决与方案及配置
H3C防ARP解决方案及配置 ARP, 方案 目录 第1章防ARP攻击功能介绍 1-1 1.1 ARP攻击简介 1-1 1.2 ARP攻击防御 1-3 1.2.2 DHCP Snooping功能 1-3 1.2.3 ARP入侵检测功能 1-4 1.2.4 ARP报文限速功能 1-4 1.3 防ARP攻击配置指南 1-5 第2章配置举例 2-1 2.1 组网需求 2-1 2.2 组网图 2-2 2.3 配置思路 2-2 2.4 配置步骤 2-3 2.5 注意事项 2-6 防ARP攻击配置举例 关键词：ARP、DHCP Snooping 摘要：本文主要介绍如何利用以太网交换机DHCP监控模式下的防ARP攻击功能，防止校园网中常见的“仿冒网关”、“欺骗网关”、“欺骗终端用户”、ARP泛洪等攻击形式。同时，详细描述了组网中各个设备的配置步骤和配置注意事项，指导用户进行实际配置。 缩略语：ARP（Address Resolution Protocol，地址解析协议） MITM（Man-In-The-Middle，中间人攻击） 第1章防ARP攻击功能介绍 近来，许多校园网络都出现了ARP攻击现象。严重者甚至造成大面积网络不能正常访问外网，学校深受其害。H3C公司根据校园网ARP攻击的特点，给出了DHCP监控模式下的防ARP攻击解决方案，可以有效的防御“仿冒网关”、“欺骗网关”、“欺骗终端用户”、“ARP中间人攻击”、“ARP泛洪攻击”等校园网中常见的ARP攻击方式；且不需要终端用户安装额外的客户端软件，简化了网络配置。 1.1 ARP攻击简介 按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。 校园网中，常见的ARP攻击有如下几中形式。 (1) 仿冒网关
win7_下用arp_命令绑定IP和MAC地址_提示“ARP_项添加失败：拒绝访问”的解决方法。
win7 下用arp命令绑定IP和MAC地址，提示“ARP 项添加失败: 拒绝访问”的解决方法。 在win7中，就算是用管理员登录了系统，运行程序的时候默认是只有普通权限的，要在CMD命令命口系统中进行一些重要的系统设置必须要以管理员的身份运行"CMD"程序。 在以前的WINDOWS系列系统中，都可以直接执行arp -s 命令绑定IP和MAC地址，但是在Win7下如果不是以管理员身份运行时会提示：“ARP 项添加失败：请求的操作需要提升。”注意窗口标题栏是没有管理员字样的。 以管理员身份运行CMD命令提示符是会显示管理员字样 但是就算以管理员身份运行也会提示错误信息“ARP 项添加失败: 拒绝访问。” (英文版提示：The ARP entry addition failed:Access is denied. )。 Win7下绑定IP和MAC地址操作和XP有所差别，Win7用户这时候就需要用netsh命令了。具体操作如下： 1、CMD中输入：netshii show in
然后找到“本地连接”对应的“Idx” (我的是“22”,下面neighbors后面的数字跟这里一致。) 2、下面在CMD输入：netsh -c "ii" add neighbors 22 “网关IP” “Mac地址“，这里22是idx号。注册前面"ii"的双引号是英文状输入，后面网关和MAC地址是不用双引号的。 ok，搞定! 再arp -a看看是不是已经绑定好了? 同理，在Win7上用arp -d并不能完全的删除绑定，必须使用netsh -c "ii" delete neighbors IDX(IDX 改为相应的数字)才可删除MAC地址绑定。 总结： 1、使用arp -a 命令查看网关的MAC网卡物理地址 2、使用netshii show in 命令查看本地连接的idx编号 3、使用netsh -c "ii" add neighbors 本地连接的idx “网关IP” “网关mac” 命令绑定 4、使用arp -a 查看结果
配置ARP安全综合功能示例
配置ARP安全综合功能示例 组网需求 如图1所示，Switch作为网关通过接口Eth0/0/3连接一台服务器，通过接口Eth0/0/1、Eth0/0/2连接VLAN10和VLAN20下的四个用户。网络中存在以下ARP威胁： ·攻击者向Switch发送伪造的ARP报文、伪造的免费ARP报文进行ARP欺骗攻击，恶意修改Switch 的ARP表项，造成其他用户无法正常接收数据报文。 ·攻击者发出大量目的IP地址不可达的IP报文进行ARP泛洪攻击，造成Switch的CPU负荷过重。·用户User1构造大量源IP地址变化MAC地址固定的ARP报文进行ARP泛洪攻击，造成Switch的ARP表资源被耗尽，影响到正常业务的处理。 ·用户User3构造大量源IP地址固定的ARP报文进行ARP泛洪攻击，造成Switch的CPU进程繁忙，影响到正常业务的处理。 管理员希望能够防止上述ARP攻击行为，为用户提供更安全的网络环境和更稳定的网络服务。 图1 配置ARP安全功能组网图 配置思路 采用如下思路在Switch上进行配置： 1. 配置ARP表项严格学习功能以及ARP表项固化功能，实现防止伪造的ARP报文错误地更新Switch的ARP表项。 2. 配置根据源IP地址进行ARP Miss消息限速，实现防止用户侧存在攻击者发出大量目的IP地址不可达的IP报文触发大量ARP Miss消息，形成ARP泛洪攻击。同时需要保证Switch可以正常处理服务器发出的大量此类报文，避免因丢弃服务器发出的大量此类报文而造成网络无法正常通信。 3. 配置基于接口的ARP表项限制，实现防止User1发送的大量源IP地址变化MAC地址固定的ARP 报文形成的ARP泛洪攻击，避免Switch的ARP表资源被耗尽。 4. 配置根据源IP地址进行ARP限速，实现防止User3发送的大量源IP地址固定的ARP报文形成的ARP泛洪攻击，避免Switch的CPU进程繁忙。 操作步骤 1. 创建VLAN，将接口加入到VLAN中，并配置VLANIF接口 # 创建VLAN10、VLAN20和VLAN30，并将接口Eth0/0/1加入VLAN10中，接口Eth0/0/2加入VLAN20中，接口Eth0/0/3加入VLAN30中。
交换机ARP攻击检测功能配置示例
1.5.2 ARP入侵检测与ARP报文限速配置举例 1. 组网需求 如图1-4所示，Switch A（S3100-EI）的端口Ethernet1/0/1连接DHCP服务器，端口Ethernet1/0/2和Ethernet1/0/3分别连接DHCP Client A和DHCP Client B，且三个端口都属于VLAN 1。 ●开启交换机的DHCP Snooping功能，并设置端口Ethernet1/0/1为DHCP Snooping信任端口。 ●为防止ARP中间人攻击，配置VLAN 1的ARP入侵检测功能，设置Switch 的端口Ethernet1/0/1为ARP信任端口； ●开启端口Ethernet1/0/2和Ethernet1/0/3上的ARP报文限速功能，防止来自Client A和Client B的ARP报文流量攻击。 ●开启Switch A上的端口状态自动恢复功能，设置恢复时间间隔为200秒。 2. 典型组网图 图1-4 配置ARP入侵检测与端口ARP报文限速组网图 3. 配置步骤 # 开启交换机DHCP Snooping功能。
# 设置端口Ethernet1/0/1为DHCP Snooping信任端口，ARP信任端口。 [SwitchA] interface Ethernet1/0/1 [SwitchA-Ethernet1/0/1] dhcp-snooping trust [SwitchA-Ethernet1/0/1] arp detection trust [SwitchA-Ethernet1/0/1] quit # 开启VLAN 1内所有端口的ARP入侵检测功能。 [SwitchA] vlan 1 [SwitchA-vlan1] arp detection enable [SwitchA-vlan1] quit # 开启端口Ethernet1/0/2上的ARP报文限速功能，设置ARP报文通过的最大速率为20pps。 [SwitchA] interface Ethernet1/0/2 [SwitchA-Ethernet1/0/2] arp rate-limit enable [SwitchA-Ethernet1/0/2] arp rate-limit 20 [SwitchA-Ethernet1/0/2] quit # 开启端口Ethernet1/0/3上ARP报文限速功能，设置ARP报文通过的最大速率为50pps。 [SwitchA] interface Ethernet1/0/3 [SwitchA-Ethernet1/0/3] arp rate-limit enable [SwitchA-Ethernet1/0/3] arp rate-limit 50 [SwitchA-Ethernet1/0/3] quit # 配置端口状态自动恢复功能，恢复时间间隔为200秒。 [SwitchA] arp protective-down recover enable [SwitchA] arp protective-down recover interval 200
锐捷交换机防止ARP欺骗配置
锐捷低端交换机防止ARP欺骗配置 2008/09/24 交换机型号:S3550,S2150,S2126，电脑IP地址为静态地址。 1.交换机地址绑定（address-bind）功能 S2126#conf S2126(config)# address-bind 172.16.40.101 0016.d390.6cc5 ----绑定ip地址为172.16.40.101 MAC地址为0016.d390.6cc5的主机让其使用网络 S2126(config)#end ----退回特权模式 S2126# wr ----保存配置 (1. 如果修改ip或是MAC地址该主机则无法使用网络，可以按照此命令添加多条，添加的条数跟交换机的硬件资源有关 (2. S21交换机的address-bind功能是防止Ip冲突，只有在交换机上绑定的才进行ip和MAC 的匹配，如果下边用户设置的ip地址在交换机中没绑定，交换机不对该数据包做控制，直接转发。 (3.交换机对已经绑定的IP进行MAC检查，如果不相同，丢弃该帧；对没有绑定的不检查，并照样转发该报文,建议在核心层层使用. 2. 交换机防主机欺骗用功能 S2126#conf S2126(config)# int g0/23 ----进入第23接口，准备在该接口绑定用户的MAC和ip地址 S2126(config-if)#switchport port-security maximum 1设置最大mac地址绑定数量,适合该口下只接一台电脑. S2126(config-if)# switchport port-security mac-address 0016.d390.6cc5 ip-address 172.16.40.101 ----在23端口下绑定ip地址是172.16.40.101 MAC地址是0016.d390.6cc5的主机，确保该主机可以正常使用网络，如果该主机修改ip或者MAC地址则无法使用网络，可以添加多条来实现对接入主机的控制 S2126(config-if)# switchport port-security ----开启端口安全功能 S2126(config)#end ----退会特权模式 S2126# wr ----保存配置 注释：可以通过在接口下设置最大的安全地址个数从而来控制控制该接口下可使用的主机数，安全地址的个数跟交换机的硬件资源有关,建议在接入层上使用该项. 3 防网关欺骗. S2126#conf S2126(config)# int ran fa 0/1-24 S2126(config)# anti-arp-spoofing ip 172.16.40.254 ------设置为网关IP地址. 过滤掉所有自称是该IP的ARP报文.
关于win7永久性静态绑定MAC地址有效防止ARP
关于ARP欺骗/攻击反复袭击，是近来网络行业普遍了解的现象，随着ARP攻击的不断升级，不同的解决方案在市场上流传。看了一下网上的案例，对于小型局域网或家庭网络的解决方案还是挺少的，也不完整。要么就是推荐购买设备，或者是安装某个杀毒软件。今天我来写一个关于仅针对个人PC比较常用的处理手段/服务器也可以这么做，防范于未然嘛，常在网上漂，哪有不挨刀！ 首先介绍一下什么是ARP攻击/欺骗，一般计算机中的原始的ARP协议，很像一个思想不坚定，容易被其它人影响的人，ARP欺骗/攻击就是利用这个特性，误导计算机作出错误的行为。ARP攻击的原理，互联网上很容易找到，这里不再覆述。原始的ARP协议运作，会附在局域网接收的广播包或是ARP询问包，无条件覆盖本机缓存中的ARP/MAC对照表。这个特性好比一个意志不坚定的人，听了每一个人和他说话都信以为真，并立刻以最新听到的信息作决定。 就像一个没有计划的快递员，想要送信给"张三"，只在马路上问"张三住那儿?"，并投递给最近和他说"我就是"或"张三住那间"，来决定如何投递一样。在一个人人诚实的地方，快递员的工作还是能切实地进行;但若是旁人看快递物品值钱，想要欺骗取得的话，快递员这种工作方式就会带来混乱了。 我们再回来看ARP攻击和这个意志不坚定快递员的关系。常见ARP攻击对象有两种，一是网络网关，也就是路由器，二是局域网上的计算机，也就是一般用户。攻击网络网关就好比发送错误的地址信息给快递员，让快递员整个工作大乱，所有信件无法正常送达;而攻击一般计算机就是直接和一般人谎称自己就是快递员，让一般用户把需要传送物品传送给发动攻击的计算机。 主讲局域网上的计算机如何应对ARP攻击，最简单、实用的方法，也欢迎大家指点指点经验！下面拿一个我的实例来讲，了解ARP的严重性： 某高速缴费查询系统服务器，由于防火墙已使用长达8年，在更换掉新防火墙之后，三天内服务器频繁出现连接不上，直到服务器出现死机、自动重启客户给我打电话告知情况，瑞星杀毒提示14小时内不间断遭受到ARP欺骗。直接断定，一、服务器本身做有对原防火墙的网关MAC地址绑定，或者从防火墙到服务器之间的其它网络设备有MAC地址绑定/设备ARP表更新不正常；二、局域网内的其它服务器可能中了ARP病毒；说起来现在的甲方管理人员连自己网络设备的管理密码都不知道，我五体投地了，跪拜了。我无法查看三层交换的ARP地址表，只能查看防火墙的攻击事件，无任何异常。我的处理方式直接在服务器上做静态网关MAC绑定，我查看了攻击事件的详细信息，发起攻击冲突的MAC地址进行厂
H3C交换机如何配置ARP
H3C交换机如何配置ARP 1、arp anti-attack valid-check enable命令用于开启ARP报文源MAC地址一致性检查功能。 undo arp anti-attack valid-check enable命令用于关闭ARP源MAC地址一致性检查功能。【举例】 # 开启交换机ARP报文源MAC地址一致性检查功能。
H3C路由MAC绑定
H3C路由MAC绑定 2008-11-17 10:09 5.2.23 dhcp server static-bind 【命令】 dhcp server static-bind ip-address ip-address { mac-address mac-address | client-identifier client-identifier } undo dhcp server static-bind { ip-address ip-address | mac-address mac-address | client-identifier client-identifier } 【视图】 接口视图 【参数】 ip-address：静态绑定的IP 地址。必须是当前接口地址池中的合法IP 地址。mac-address：静态绑定的MAC 地址。 client-identifier：待绑定的主机ID。 【描述】 dhcp server static-bind 命令用来配置当前接口的DHCP 地址池中地址的静态绑 定，undo dhcp server static-bind 命令用来删除配置。 缺省情况下，接口地址池中没有配置静态地址捆绑。 在一个接口的所有静态绑定中，IP 地址和MAC 地址/identifier 必须是唯一的。 【举例】 # 将MAC 地址为0000-e03f-0305 与IP 地址10.1.1.1 进行静态绑定。 [H3C-GigabitEthernet1/0] dhcp server static-bind ip-address 10.1.1.1 mac-address 0000-e03f-0305 详见H3C AR 18-63-1路由器命令手册(V1.01)第391页 2.1.2 arp fixed (要先进入系统模式SYS） 【命令】 arp fixed ip-address mac-address (4位一组） undo arp ip-address （清除已绑的IP） dis arp (查看所以IP情况） arp fixup (绑定所有的IP，一次性） 【视图】 系统视图 【参数】 ip-address：为ARP 映射项的IP 地址，为点分十进制格式。 mac-address：ARP 映射项的以太网MAC 地址，格式为H-H-H。 【描述】 arp fixed 命令用来配置ARP 映射表。undo arp 命令用来取消ARP 映射表中对
ARP 绑定的意义
ARP绑定的意义 ARP协议是―Address Resolution Protocol‖（地址解析协议）的缩写。在局域网中，网络中实际传输的是―帧‖，帧里面是有目标主机的MAC地址的。在以太网中，一个主机和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓―地址解析‖就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 ARP协议主要负责将局域网中的32位IP地址转换为对应的48位物理地址,即网卡的MAC地址,比如IP地址位192.168.0.1网卡MAC地址为 00-03-0F-FD-1D-2B.整个转换过程是一台主机先向目标主机发送包含有IP地址和MAC地址的数据包,通过MAC地址两个主机就可以实现数据传输了. 在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC 地址是一一对应的，如附表所示。 附表 我们以主机A（192.168.1.5）向主机B（192.168.1.1）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是―FF.FF.FF.FF.FF.FF‖，这表示向同一网段内的所有主机发出这样的询问：―192.168.1.1的MAC地址是什么？‖网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：―192.168.1.1 的MAC地址是00-aa-00-62-c6-09‖。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。 ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。 ARP攻击主要是存在于局域网网络中，局域网中若有一个人感染ARP木马，则感染该ARP木马的系统将会试图通过―ARP欺骗‖手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。 RARP的工作原理： 1. 发送主机发送一个本地的RARP广播，在此广播包中，声明自己的MAC地址并且请求任何收到此请求的RARP服务器分配一个IP地址； 2. 本地网段上的RARP服务器收到此请求后，检查其RARP列表，查找该MAC 地址对应的IP地址； 3. 如果存在，RARP服务器就给源主机发送一个响应数据包并将此IP地址提供给对方主机使用；
H3C_ARP配置
1 ARP配置 1.1 ARP配置命令 1.1.1 arp anti-attack valid-check enable 【命令】 arp anti-attack valid-check enable undo arp anti-attack valid-check enable 【视图】 系统视图 【参数】 无 【描述】 arp anti-attack valid-check enable命令用于开启ARP报文源MAC地址一致性检查功能。undo arp anti-attack valid-check enable命令用于关闭ARP源MAC地址一致性检查功能。 缺省情况下，交换机的ARP源MAC地址一致性检查功能处于关闭状态。 【举例】 # 开启交换机ARP报文源MAC地址一致性检查功能。
开启ARP表项检查功能后，若交换机接收到的ARP报文中的源MAC地址为组播MAC，则不进行动态ARP表项的学习；且交换机上不能配置MAC地址为组播MAC 的静态ARP表项，否则会有错误提示。 关闭ARP表项检查功能后，可以对源MAC地址为组播MAC的ARP表项进行学习，且可以配置MAC地址为组播MAC的静态ARP表项。 缺省情况下，开启ARP表项的检查功能。 【举例】 # 关闭ARP表项的检查功能。
- 关于win7永久性静态绑定MAC地址有效防止ARP
- arp命令使用详解
- juniper MAC地址绑定
- ARP静态绑定批处理文件脚本详细讲解
- ARP自动绑定批处理使用教程
- win7_下用arp_命令绑定IP和MAC地址_提示“ARP_项添加失败：拒绝访问”的解决方法。
- cisco arp绑定
- ARP静态绑定方法
- 手工绑定的命令为MAC
- 网卡ARP静态开机绑定
- ARP工作原理及IP与MAC地址的绑定
- 有效防止ARP攻击：网关绑定IP和MAC地址
- S9303上ARP绑定操作指导
- 7. ARP 绑定(IP & MAC Binding)：.pdf
- 防arp简单方法-静态绑定网关(整理)
- 核心交换机ARP绑定操作
- ROS软路由批量绑定ARP脚本
- ARP 绑定的意义
- 使用ARP下令来绑定IP和MAC地址
- windows 永久绑定arp