你不可忽视的园区网ARP清静防护

【ARP清静防护】本文重点针对在IPv4情形下的ARP防护问题以及解决计划举行详细叙述。主要包括：ARP诱骗攻击以及解决计划、ARP泛洪攻击以及解决计划和现实安排时的建议。

宣布时间：2019-04-03
点击量：
点赞：

分享至

我想谈论

前言

ARP（Address Resolution Protocol，地址剖析协议），目的是实现IP地址到MAC地址的映射。而在TCP/IP协议栈中，最不清静的协议，可能非ARP莫属了。我们经常听到的这些术语，包括"网络扫描"、"内网渗透"、"中心人阻挡"、"局域网流控"、"流量诱骗"，基本都跟ARP脱不了关连。本文重点针对在IPv4情形下的ARP防御问题以及解决计划举行详细叙述。主要包括：ARP诱骗攻击以及解决计划、ARP泛洪攻击以及解决计划和现实安排时的建议。

ARP攻击先容

ARP诱骗攻击

• ARP诱骗的原理

正常的ARP通讯历程只需广播ARP Request和单播ARP Reply两个历程，简朴的说就是一问一答。而ARP的诱骗就是通过伪造请求或者应答报文形成的诱骗。

• ARP诱骗攻击的分类

凭证ARP诱骗者与被诱骗者之间角色关系的差别，通�？梢园袮RP诱骗攻击分为如下两种，如图1所示：

主机型ARP诱骗：诱骗者主机冒充网关装备对其他主机举行诱骗。

网关型ARP诱骗：诱骗者主机冒充其他主机对网关装备举行诱骗。

97国际·(中国区)集团官方网站

▲图1 ARP诱骗分类

ARP泛洪攻击

• ARP泛洪攻击的原理

ARP泛洪攻击，也叫拒绝服务攻击（Denial of Service），可能导致大宗消耗交流机内存、表项或者其它资源，使系统无法继续服务。大宗的报文砸向CPU，占用了整个送CPU报文的带宽，导致正常的协议报文和管理报文无法被CPU处置惩罚，带来协议震荡或者装备无法管理，进而导致数据面转发受影响，并引起整个网络无法正常运行。

ARP诱骗攻击解决计划

在先容详细解决计划之前，我们先相识下防ARP诱骗的焦点功效：ARP-check（ARP报文合规校验），校验ARP报文的源IP与清静地址中的IP是否一致，校验ARP报文的源MAC与清静地址中的MAC是否一致，在两项校验均合规的情形下对报文举行转发。而清静地址的天生，我们可以通过手工静态绑定的方法以及DHCP Snooping监测的方法获取，详细流程如图2：

97国际·(中国区)集团官方网站

▲图2 ARP-check流程

以上是硬件检测的流程，除此之外尚有一种软件校验的方法，就是将端口的ARP请求直接送往CPU，而CPU依据DHCP Snooping的表项举行合规检查。

端口清静 + ARP-check计划

应用场景：此计划适用于用户IP地址为静态分派的场景，并且需要明确知道每个用户所毗连交流机端口。

功效简介：通过手工的方法将IP与MAC的对应关系设置到交流机的端口，并开启ARP合规检查。详细设置如图3：

97国际·(中国区)集团官方网站

▲图3 端口清静+ARP-check计划设置

计划的优势：控制很是严酷，应用硬件方法直接校验ARP报文，准确，无需消耗CPU。

弱点的劣势：端口清静必需网络并设置所有用户IP和MAC信息，较为繁杂，不敷无邪，不适合于用户需要频仍迁徙端口的情形。

全局IP&MAC绑定+ARP-check计划

应用场景：此计划适用于用户IP地址为静态分派的场景，但管理员不需要知道每个用户所毗连的交流机端口，因此适用于用户漫衍情形不确定，或者下联用户保存随意移动端口的场景中。

功效简介：通过手工方法将IP与MAC的对应关系设置到交流机全局，并在交流机的端口下开启ARP合规检查。详细设置如图4：

97国际·(中国区)集团官方网站

▲图4 全局IP+MAC绑定+ARP-check计划设置

计划的优点：控制较为严酷，允许用户在本交流机内部举行端口迁徙具备一定的无邪性，应用硬件方法直接校验ARP报文，准确，无需消耗CPU。

计划的弱点：端口清静必需网络并设置所有用户IP和MAC信息，较为繁杂。

DAI计划

应用场景：DAI（Dynamic ARP Inspection）计划适合于接入用户使用DHCP动态获取IP地址情形，同时要求安排DHCP Snooping功效。

功效简介：提取DHCP Snooping表中的IP+MAC信息，通过CPU过滤源MAC/源IP不在Snooping表中的ARP报文，详细流程如图5：

97国际·(中国区)集团官方网站

▲图5 DAI计划ARP合规检查流程图

详细设置见图6：

97国际·(中国区)集团官方网站

▲图6 DAI计划设置

计划的优点：设置维护简朴，无需手工设置每个用户的IP&MAC绑定。

计划的弱点：由于用户的ARP报文送CPU检查，检查的泉源是DHCP Snooping所纪录的软件表项，因此会特殊消耗装备的CPU资源。

IP Source Guard + ARP-check计划

应用场景：此计划适合于接入用户使用DHCP动态获取IP地址情形，同时要求安排DHCP Snooping功效。

功效简介：提取DHCP Snooping表中准确的IP与MAC，通过IP Source Guard将DHCP Snooping表写入交流机硬件表项，使用ARP-check功效校验ARP报文的正当性，详细流程如图7：

97国际·(中国区)集团官方网站

▲图7 IP Source Guard + ARP-check计划流程图

详细设置如图8：

97国际·(中国区)集团官方网站

▲图8 IP Source Guard + ARP-check计划设置

计划的优点：设置维护简朴，和DAI相比，ARP-check属于硬件芯片检查清静表项，不必耗CPU资源。

计划的弱点：对交流机的清静功效要求较高，需要同时支持DHCP Snooping、IP Source Guard、ARP-check这三种功效。跟DAI相比，会消耗硬件资源表项，当交流机使用较多清静功效时，好比ACL，且交流机下接用户数过多，可能会导致装备硬件清静资源缺乏，需要适当控制单台交流机的带机数。

装备硬件资源缺乏时，会提醒类似这样的log：

%SECURITY-3-TCAM_RESOURCE_LIMIT: TCAM resource is temporary not available.

ARP诱骗解决计划比照剖析

97国际·(中国区)集团官方网站

▲表1 ARP诱骗解决计划比照剖析表

如表1所示，当网络内接纳DHCP方法动态获取IP，那么推荐接纳IP Source Guard + ARP-check计划举行防ARP诱骗攻击安排，关于部别离工设置的IP地址需要网络会见时，例如打印机，可以团结端口或者全局IP&MAC手动绑定的方法+ ARP-check解决。

ARP泛洪攻击解决计划

CPP+NFPP解决ARP泛洪攻击

由于ARP报文的剖析均要送往CPU举行剖析，因此我们可以通过限制ARP送往CPU的报文速率实现对CPU的掩护

CPP（CPU Protect Policy，CPU掩护战略）是一种装备自身用来掩护CPU的清静防护功效，用于阻止网络装备的CPU收到网络上不须要和具有恶意攻击目的的数据报文，通过将发往CPU的报文识别分类、划分行列、限速、调理、流量整形等处置惩罚后，送达CPU，包管网络装备的CPU纵然在一个充满着网络攻击的情形中仍可以对正常举行协议报文处置惩罚，确保网络的稳固运行。如图9所示：

97国际·(中国区)集团官方网站

▲图9 CPP事情流程图

虽然CPP自己也是有局限性的，例如仅针对报文举行限速，无法从基础解决问题，并且没有相关的日志爆发，导致泛起问题后无法定位故障。针对CPP的局限，一个全新的系统架构泛起，即：NFPP(Network Foundation Protection Policy，网络基础掩护战略)。

比照于CPP，NFPP增添了清静战略，如（隔离战略，攻击检测战略），并且能够在触发清静战略后以syslog或者trap的方法上报服务器，详细流程如图10所示：

97国际·(中国区)集团官方网站

▲图10 NFPP简化流程图

在NFPP框架内隔离战略，可从源头屏障攻击，并且会爆发相关的log信息，从而资助网络管理员定位问题。在NFPP框架内，可实现关于ARP报文的防护（ARP-Guard）、ND报文的防护、DHCP报文防护等等，本文将针对ARP防护举行进一步详细先容。

ARP防护（ARP-Guard）：

ARP-Guard功效主要目的为掩护装备CPU，避免大宗ARP攻击报文送CPU导致CPU使用率升高，以是ARP-Guard实现了对送往CPU的ARP报文的限速和攻击检测。

通过在交流机上开启ARP-Guard功效，设置ARP报文的攻击水线以及限速水线。若是ARP报文量凌驾攻击水线，那么装备将通过清静战略直接举行隔离，并爆发log信息给日志服务器。若是ARP报文量小于攻击水线但大于限速水线，那么将对报文举行限速处置惩罚，并爆发log信息给日志服务器。若是ARP报文量低于限速水线，可正常转发至CPU。如图11所示：

97国际·(中国区)集团官方网站