以下是OMG小編為大家收集整理的文章，希望對大家有所幫助。
從原理和應用談解決ARP攻擊的方法：
很多網咖和企業網路不穩，無故掉線，經濟蒙受了很大的損失。根據情況可以看出這是一種存在於網路中的一種普遍問題。出現此類問題的主要原因就是遭受了ARP攻擊。現在ARP不只是協議的簡寫，還成了掉線的代名詞。由於其變種版本之多，傳播速度之快，很多技術人員和企業對其束手無策。下面就來給大家從原理到應用談一談這方面的話題。希望能夠幫大家解決此類問題，淨化網路環境。
在區域網中，透過ARP協議來完成IP地址轉換為第二層實體地址，實現區域網機器的通訊。ARP協議對網路安全具有重要的意義。這是建立在相互信任的基礎上。如果透過偽造IP地址和MAC地址實現ARP欺騙，將在網路中產生大量的ARP通訊量使網路阻塞、掉線、重定向、嗅探攻擊。
我們知道每個主機都用一個ARP快取記憶體，存放最近IP地址到MAC硬體地址之間的對映記錄。windows快取記憶體中的每一條記錄的生存時間一般為60秒，起始時間從被建立時開始算起。預設情況下，ARP從快取中讀取IP-MAC條目，快取中的IP-MAC條目是根據ARP響應包動態變化的。因此，只要網路上有ARP響應包傳送到本機，即會更新ARP快取記憶體中的IP-MAC條目。如：X向Y傳送一個自己偽造的ARP應答，而這個應答中的資料傳送方IP地址是192.168.1.3(Z的IP地址)，MAC地址是DD-DD-DD-DD-DD-DD(Z的真實MAC地址卻是CC-CC-CC-CC-CC-CC，這裡被偽造了)。當Y接收到X偽造的ARP應答，就會更新本地的ARP快取(Y可不知道被偽造了)。那麼如果偽造成閘道器呢?
Switch上同樣維護著一個動態的MAC快取，它一般是這樣，首先，交換機內部有一個對應的列表，交換機的埠對應MAC地址表Port n <-> Mac記錄著每一個埠下面存在那些MAC地址，這個表開始是空的，交換機從來往資料幀中學習。因為MAC-PORT快取表是動態更新的，那麼讓整個 Switch的埠表都改變，對Switch進行MAC地址欺騙的Flood，不斷髮送大量假MAC地址的資料包，Switch就更新MAC-PORT快取，如果能透過這樣的辦法把以前正常的MAC和Port對應的關係破壞了，那麼Switch就會進行泛洪傳送給每一個埠，讓Switch基本變成一個 HUB，向所有的埠傳送資料包，要進行嗅探攻擊的目的一樣能夠達到。也將造成Switch MAC-PORT快取的崩潰，如下面交換機中日誌所示：
Internet 192.168.1.4 0000b.cd85.a193 ARPAVlan256
Internet 192.168.1.5 0000b.cd85.a193 ARPAVlan256
Internet 192.168.1.6 0000b.cd85.a193 ARPAVlan256
Internet 192.168.1.7 0000b.cd85.a193 ARPAVlan256
Internet 192.168.1.8 0000b.cd85.a193 ARPAVlan256
Internet 192.168.1.9 0000b.cd85.a193 ARPAVlan256
ARP攻擊時的主要現象
網上銀行、保密資料的頻繁丟失。當區域網內某臺主機執行ARP欺騙的木馬程式時，會欺騙區域網內所有主機和路由器，讓所有上網的流量必須經過病毒主機。其他使用者原來直接透過路由器上網現在轉由透過病毒主機上網，切換的時候使用者會斷一次線。切換到病毒主機上網後，如果使用者已經登陸伺服器，那麼病毒主機就會經常偽造斷線的假像，那麼使用者就得重新登入伺服器，這樣病毒主機就可以竊取所有機器的資料了。
網速時快時慢，極其不穩定，但單機進行光纖資料測試時一切正常。區域網內頻繁性區域或整體掉線，重啟計算機或網路裝置後恢復正常
由於ARP欺騙的木馬程式發作的時候會發出大量的資料包導致區域網通訊擁塞以及其自身處理能力的限制，使用者會感覺上網速度越來越慢。當ARP欺騙的木馬程式停止執行時，使用者會恢復從路由器上網，切換過程中使用者會再次斷線。
ARP的解決辦法：
目前來看普遍的解決辦法都是採用雙綁,具體方法：
先找到正確的 閘道器 IP 閘道器實體地址 然後 在客戶端做對閘道器的arp繫結。
步驟一：
查詢本網段的閘道器地址，比如192.168.1.1，以下以此閘道器為例。在正常上網時，“開始→執行→cmd→確定”，輸入：arp -a，點回車，檢視閘道器對應的Physical Address。
比如：閘道器192.168.1.1 對應0A-0B-0C-0D-0E-0F。
步驟二：
編寫一個批處理檔案rarp.bat，內容如下：
@echo off
arp -d
arp -s 192.168.1.1 0A-0B-0C-0D-0E-0F
儲存為：rarp.bat。
步驟三：
執行批處理檔案將這個批處理檔案拖到“windows→開始→程式→啟動”中。
但雙綁並不能徹底解決ARP問題，IP衝突以及一些ARP變種是不能應對的。
再有就是採用防ARP的硬體路由，但價格很高,並且不能保證在大量攻擊出現地情況下穩定工作.那麼現在就沒有，有效並能夠徹底的解決辦法了嗎?有的，那就是採用能夠以底層驅動的方式工作的軟體，並全網部署來防範ARP問題.
此類軟體是透過系統底層核心驅動，以服務及程式並存的形式隨系統啟動並執行，不佔用計算機系統資源。這種方式不同於雙綁。因為它是對通訊中的資料包進行分析與判斷，只有合法的包才可以被放行。非法包就被丟棄掉了。也不用擔心計算機會在重啟後新建ARP快取列表，因為是以服務與程式相結合的形式 存在於計算機中，當計算機重啟後軟體的防護功能也會隨作業系統自動啟動並工作。
目前滿足這一要求的並能出色工作的軟體推薦大家選用ARP衛士，此軟體不僅僅解決了ARP問題，同時也擁有內網洪水防護功能與P2P限速功能。
ARP衛士在系統網路的底層安裝了一個核心驅動,透過這個核心驅動過濾所有的ARP資料包,對每個ARP應答進行判斷,只有符合規則的ARP包,才會被進一步處理.這樣,就實現防禦了計算機被欺騙. 同時,ARP衛士對每一個傳送出去的ARP應答都進行檢測,只有符合規則的ARP資料包才會被髮送出去,這樣就實現了對傳送攻擊的攔截...
洪水攔截：透過此項設定，可以對規則列表中出現了SYN洪水攻擊、UDP洪水攻擊、ICMP洪水攻擊的機器進行懲罰。當區域網 內某臺計算機所傳送的SYN報文、UDP報文、ICMP報文超出此項設定中所規定的上限時，“ARP衛士”客戶端將會按 照預設值對其進行相應懲罰。在懲罰時間內，這臺計算機將不會再向網路內傳送相應報文。但懲罰不會對已建立 的連線產生影響。
流量控制：透過此項設定，可以對規則列表中的所有計算機進行廣域網及區域網的上傳及下載流量進行限制(即所謂的網路 限速)。滑鼠右鍵單擊“排除機器列表”視窗即可對其中內容進行修改、編輯。存在於“排除機器列表”中的IP地址將不 會受到流量控制的約束。
ARP Guard(ARP衛士)的確可以從根本上徹底解 決ARP欺騙攻擊所帶來的所有問題。它不僅可以保護計算機不受ARP欺騙攻擊的影響，而且還會對感染了ARP攻擊病毒或欺騙木馬的 病毒源機器進行控制，使其不能對區域網內其它計算機進行欺騙攻擊。保持網路正常通訊，防止帶有ARP欺騙攻擊的機器對網內計 算機的監聽，使瀏覽網頁、資料傳輸時不受ARP欺騙者限制。
總體來看我覺得這個軟體是目前市面上最好的了。同時線上客服工作也很負責。但有些時候對於網管來說還是不太方便。比如管理端換了IP。那麼下面的客戶端只能重新指向新的IP。再有軟體不能對所有的無盤系統都支援。對LINUX作業系統也不能支援。希望這些能夠儘快被軟體開發商注意並及時更新。好了，說了這麼多，希望能夠給大家解決ARP掉線問題，提供幫助。