CN101494536A - 一种防arp攻击的方法、装置和系统 - Google Patents

一种防arp攻击的方法、装置和系统 Download PDF

Info

Publication number
CN101494536A
CN101494536A CNA2009101055373A CN200910105537A CN101494536A CN 101494536 A CN101494536 A CN 101494536A CN A2009101055373 A CNA2009101055373 A CN A2009101055373A CN 200910105537 A CN200910105537 A CN 200910105537A CN 101494536 A CN101494536 A CN 101494536A
Authority
CN
China
Prior art keywords
arp
gateway
link layer
request message
message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2009101055373A
Other languages
English (en)
Other versions
CN101494536B (zh
Inventor
赵永鹏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN2009101055373A priority Critical patent/CN101494536B/zh
Publication of CN101494536A publication Critical patent/CN101494536A/zh
Application granted granted Critical
Publication of CN101494536B publication Critical patent/CN101494536B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明涉及网络通信领域，尤其涉及一种防ARP攻击的方法、装置和系统。该方法包括：配置链路层设备管理范围内的每台主机的网际协议IP地址和媒体访问控制MAC地址绑定；向网关发送包括主机IP地址和MAC地址绑定的ARP请求报文；接收所述网关根据所述ARP请求报文生成的ARP应答报文，并将所述ARP应答报文转发到相应主机。采用本发明实施例提供的技术方案，因为丢弃了所有主机向所述网关发送的ARP报文，并根据IP地址和MAC地址绑定向网关发送ARP请求报文，可以将所有主机发出的ARP报文被屏蔽在用户网络内，从而，解决了在链路层设备上防御针对网关设备的ARP攻击的问题。

Description

一种防ARP攻击的方法、装置和系统
技术领域
本发明涉及网络通信领域，尤其涉及一种防ARP攻击的方法、装置和系统。
背景技术
由于地址解析协议(Address Resolution Protocol，ARP协议)的开放性和无认证机制，导致ARP攻击经常发生。
ARP攻击有针对网络中主机的，也有针对网关的。ARP地址欺骗攻击一般针对个别或者一定范围内的主机进行，危害相对较小。而针对网关设备的ARP攻击，由于其网络位置的特殊性，将造成大面积用户无法上网。
目前在交换机上部署的防ARP攻击的方法主要有：
1)端口学习媒体访问控制(Media Access Control，MAC)地址数量限制：超过指定MAC地址时，可以选择关闭端口、报警、丢弃流量；
2)动态主机分配协议(Dynamic Host Configuration Protocol，DHCP)snooping：阻止不可信端口的DHCP响应报文，监控可信端口的DHCP报文或者以手工方式建立DHCP snooping绑定表，依据IP与MAC地址的对应关系可以执行一系列的防攻击检查；
3)动态ARP检测(Dynamic ARP Inspection，DAI)：以DHCPsnooping绑定表为依据进行ARP报文动态检查，也可以在端口限定ARP报文速率。
采用端口学习MAC地址数量限制的方案，因为在已经学习到的MAC中，可能被攻击MAC占据了很大部分，而合法的却不能学习。如果超过指定MAC地址时关闭端口，那么端口就不能进行任何转发。
发明人发现现有技术存在以下问题：由于安全部门对网络进行监控的需要，网吧等公共上网场所难以应用动态分配网际协议(InternetProtocol，IP)地址的DHCP协议。并且DHCP snooping不能防御伪装合法的MAC和IP的ARP攻击方法。
发明内容
本发明实施例的目的是提供一种防ARP攻击的方法、装置和系统，以防御针对网关设备的ARP攻击。
本发明实施例的目的是通过以下技术方案实现的：
一种防ARP攻击的方法，包括：
配置链路层设备管理范围内的每台主机的网际协议IP地址和媒体访问控制MAC地址绑定；
向网关发送ARP请求报文，所述ARP请求报文包括主机IP地址和MAC地址绑定；
接收所述网关根据所述ARP请求报文生成的ARP应答报文，并将所述ARP应答报文转发到相应主机。
一种防地址解析协议ARP攻击的链路层设备，包括存储模块、发送模块和接收模块；其中，
所述存储模块，用于存储链路层设备管理范围内的每台主机的IP地址和MAC地址绑定；
所述发送模块，用于向网关发送ARP请求报文，所述ARP请求报文包括主机IP地址和MAC地址绑定，并用于将所述接收模块接收的ARP应答报文转发到相应主机；
所述接收模块，用于接收网关根据所述ARP请求报文生成的ARP应答报文。
一种防ARP攻击的系统，包括网关；
所述网关，用于接收链路层设备发送的ARP请求报文，所述ARP请求报文包括主机IP地址和MAC地址绑定，根据所述ARP请求报文生成主机的ARP表项并发送ARP应答报文；
所述链路层设备，用于存储链路层设备管理范围内的每台主机的IP地址和MAC地址绑定，并向所述网关发送包括主机IP地址和MAC地址绑定的ARP请求报文，接收所述网关发送的所述ARP应答报文，并将所述ARP应答报文转发到相应主机。
采用本发明实施例提供的技术方案，因为在链路层设备上配置了每台主机的IP地址和MAC地址绑定，可以代替主机向网关发送ARP请求报文，由于链路层设备上的IP地址和MAC地址绑定静态配置，不会因ARP报文改变，从而，可以在链路层设备上防御针对网关设备的ARP攻击。
附图说明
图1为本发明实施例的应用场景示意图；
图2为本发明一个实施例中一种防ARP攻击的方法流程图；
图3为本发明另一个实施例中一种防ARP攻击的链路层设备框图；
图4为本发明又一个实施例中一种防ARP攻击的链路层设备框图；
图5为本发明另一个实施例中防ARP攻击的系统框图。
具体实施方式
图1为本发明实施例的一个应用场景示意图。
本发明实施例的一个应用场景中，主机通过接入交换机接入到网关，再通过网关接入核心网或公网。由于安全部门需要对网络进行监控等原因，每台主机都有固定的全网IP地址，因此，不需要DHCP服务器为主机分配动态IP地址。这里的接入交换机也可以是其他链路层设备，包括交换机、网桥或者支持链路层模式的路由器。
图2为本发明一个实施例中一种防ARP攻击的方法流程图。该方法包括：
202、配置链路层设备管理范围内的每台主机的IP地址和MAC地址绑定。例如，可以人工或应用批处理、脚本程序，将链路层设备管理范围内的每台主机的IP地址和MAC地址绑定静态配置在所属的链路层设备上。所述IP地址和MAC地址绑定是指主机所对应的IP地址和该主机所对应的MAC地址的静态配置的绑定关系。所述链路层设备，包括交换机、网桥或者支持链路层模式的路由器。
204、链路层设备向网关发送包括主机IP地址和MAC地址绑定的ARP请求报文。举例来说，链路层设备按照配置的IP地址和MAC地址绑定，代替主机向网关周期发送附带主机MAC和IP的ARP请求报文，发送周期可以包括10秒、20秒等较大间隔，但应当小于主机的ARP表项老化时间。
206、链路层设备接收网关根据ARP请求报文生成的ARP应答报文，并将ARP应答报文转发到相应主机。网关收到链路层设备发送的ARP请求报文，生成主机的ARP表项并发送ARP应答报文，通过链路层设备转发到相应主机，使主机生成网关的ARP表项。所述相应主机，是指IP地址是网关发送的ARP应答报文中的目的IP的主机。
因为链路层设备代替主机向网关发送ARP请求报文，因此通常主机不会向网关发送ARP报文。当主机向网关发送ARP报文时，可以让链路层设备丢弃所有主机向所述网关发送的ARP报文。例如，链路层设备收到ARP报文后，将所有要向网关发送的ARP报文丢弃，因此，所有主机发出的ARP报文被屏蔽在用户网络内。链路层设备管理范围内的主机之间的ARP报文可以互通，但不能向网关发送，从而保证了网关不会受到任何ARP攻击。
在本发明实施例的一个具体应用场景中，在链路层设备上联端口配置丢弃主机向网关发送的ARP报文的功能。所述上联端口是指与网关相连接的端口。链路层设备收到ARP报文后，完成MAC地址学习，将所有要从配置ARP防攻击功能的端口转发出去的ARP报文丢弃，从而所有主机发出的ARP报文被屏蔽在用户网络内，链路层设备管理范围内的主机之间的ARP报文可以互通，但不能从上联端口发送出去。
图3为本发明另一个实施例中一种防ARP攻击的链路层设备框图。所述链路层设备，可以是交换机、网桥或者支持链路层模式的路由器。该链路层设备包括：存储模块302、发送模块304和接收模块308；其中，
存储模块302，用于存储链路层设备管理范围内的每台主机的IP地址和MAC地址绑定。举例来说，存储模块302存储的IP地址和MAC地址绑定可以是人工或应用批处理、脚本程序配制的。
发送模块304，用于向网关发送ARP请求报文，所述ARP请求报文包括主机IP地址和MAC地址绑定，并用于将所述接收模块308接收的ARP应答报文转发到相应主机。举例来说，发送模块304按照存储模块302存储的IP地址和MAC地址绑定，代替主机向网关周期发送附带主机MAC和IP的ARP请求报文，发送周期可以包括10秒、20秒等较大间隔，但应当小于主机的ARP表项老化时间。
接收模块306，用于接收网关根据所述ARP请求报文生成的ARP应答报文。
图4为本发明又一个实施例中一种防ARP攻击的链路层设备框图。所述链路层设备，可以是交换机、网桥或者支持链路层模式的路由器。该链路层设备包括：存储模块402、发送模块404、防御模块406和接收模块408；本发明另一个实施例的链路层设备中，各个组成部分与图3所示实施例的链路层设备基本相同，功能也基本相同，区别在于，增加了防御模块406。其中，
防御模块406，用于丢弃所有所述接收模块408接收的主机向所述网关发送的ARP报文。在本发明实施例的一个具体应用场景中，防御模块406位于链路层设备的上联端口。
图5为本发明另一个实施例中防ARP攻击的系统框图。该系统包括：网关402；其中，
网关502，用于接收链路层设备404发送的包括主机IP地址和MAC地址绑定的ARP请求报文，根据所述ARP请求报文生成主机的ARP表项并发送ARP应答报文。
链路层设备504，用于存储链路层设备管理范围内的每台主机的IP地址和MAC地址绑定，并向所述网关402发送包括主机IP地址和MAC地址绑定的ARP请求报文，接收所述网关402发送的所述ARP应答报文，并将所述ARP应答报文转发到相应主机。所述链路层设备504，包括交换机、网桥或者支持链路层模式的路由器。
因为链路层设备504代替主机向网关发送ARP请求报文，因此通常主机不会向网关502发送ARP报文。当主机向网关502发送ARP报文时，链路层设备504还用于丢弃所有主机向网关502发送的ARP报文
采用本发明实施例提供的技术方案，因为在链路层设备上配置了每台主机的IP地址和MAC地址绑定，可以代替主机向网关发送ARP请求报文，由于链路层设备上的IP地址和MAC地址绑定静态配置，不会因ARP报文改变，从而，可以在链路层设备上防御针对网关设备的ARP攻击。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于计算机可读存储介质中，所述存储介质可以是ROM/RAM，磁盘或光盘等。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (9)

1、一种防地址解析协议ARP攻击的方法，其特征在于，包括：
配置链路层设备管理范围内的每台主机的网际协议IP地址和媒体访问控制MAC地址绑定；
向网关发送ARP请求报文，所述ARP请求报文包括主机IP地址和MAC地址绑定；
接收所述网关根据所述ARP请求报文生成的ARP应答报文，并将所述ARP应答报文转发到相应主机。
2、根据权利要求1所述的方法，其特征在于，所述向网关发送ARP请求报文，包括向网关周期发送所述ARP请求报文，发送所述ARP请求报文的周期小于主机的ARP表项老化时间。
3、根据权利要求1或2所述的方法，其特征在于，还包括，丢弃所有主机向所述网关发送的ARP报文。
4、根据权利要求1或2所述的方法，其特征在于，所述链路层设备，包括：
交换机；或
网桥；或
支持链路层模式的路由器。
5、一种防地址解析协议ARP攻击的链路层设备，其特征在于，包括存储模块、发送模块和接收模块；其中，
所述存储模块，用于存储链路层设备管理范围内的每台主机的IP地址和MAC地址绑定；
所述发送模块，用于向网关发送ARP请求报文，所述ARP请求报文包括主机IP地址和MAC地址绑定，并用于将所述接收模块接收的ARP应答报文转发到相应主机；
所述接收模块，用于接收网关根据所述ARP请求报文生成的ARP应答报文。
6、根据权利要求5所述的链路层设备，其特征在于，还包括：
防御模块，用于丢弃所有所述接收模块接收的主机向所述网关发送的ARP报文。
7、一种防地址解析协议ARP攻击的系统，其特征在于，包括网关；
所述网关，用于接收链路层设备发送的ARP请求报文，所述ARP请求报文包括主机IP地址和MAC地址绑定，根据所述ARP请求报文生成主机的ARP表项并发送ARP应答报文；
所述链路层设备，用于存储链路层设备管理范围内的每台主机的IP地址和MAC地址绑定，并向所述网关发送包括主机IP地址和MAC地址绑定的ARP请求报文，接收所述网关发送的所述ARP应答报文，并将所述ARP应答报文转发到相应主机。
8、根据权利要求7所述的系统，其特征在于，所述链路层设备，还用于丢弃所有主机向所述网关发送的ARP报文。
9、根据权利要求7或8所述的系统，其特征在于，所述链路层设备，包括：
交换机；或
网桥；或
支持链路层模式的路由器。
CN2009101055373A 2009-02-20 2009-02-20 一种防arp攻击的方法、装置和系统 Active CN101494536B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN2009101055373A CN101494536B (zh) 2009-02-20 2009-02-20 一种防arp攻击的方法、装置和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN2009101055373A CN101494536B (zh) 2009-02-20 2009-02-20 一种防arp攻击的方法、装置和系统

Publications (2)

Publication Number Publication Date
CN101494536A true CN101494536A (zh) 2009-07-29
CN101494536B CN101494536B (zh) 2012-01-04

Family

ID=40924957

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2009101055373A Active CN101494536B (zh) 2009-02-20 2009-02-20 一种防arp攻击的方法、装置和系统

Country Status (1)

Country Link
CN (1) CN101494536B (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012051872A1 (zh) * 2010-10-18 2012-04-26 中兴通讯股份有限公司 一种实现二层网络的扩展方法及扩展的二层网络
CN104410642A (zh) * 2014-12-11 2015-03-11 国家电网公司 基于arp协议的设备接入感知方法
CN107295020A (zh) * 2017-08-16 2017-10-24 北京新网数码信息技术有限公司 一种地址解析协议攻击的处理方法及装置
CN108989271A (zh) * 2017-06-05 2018-12-11 中兴通讯股份有限公司 一种家庭网关端口防攻击的方法和装置
CN109600273A (zh) * 2018-11-26 2019-04-09 武汉思普崚技术有限公司 一种udp报文传输性能的优化方法及系统

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6771649B1 (en) * 1999-12-06 2004-08-03 At&T Corp. Middle approach to asynchronous and backward-compatible detection and prevention of ARP cache poisoning
US7360245B1 (en) * 2001-07-18 2008-04-15 Novell, Inc. Method and system for filtering spoofed packets in a network
CN100484034C (zh) * 2006-08-15 2009-04-29 华为技术有限公司 采用虚拟路由器冗余协议接入用户的方法和系统
CN101197830A (zh) * 2007-12-07 2008-06-11 张南希 上报式防攻击信息通讯网络安全防御方法及防御系统

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012051872A1 (zh) * 2010-10-18 2012-04-26 中兴通讯股份有限公司 一种实现二层网络的扩展方法及扩展的二层网络
CN102457586A (zh) * 2010-10-18 2012-05-16 中兴通讯股份有限公司 一种实现二层网络的扩展方法及扩展的二层网络
CN102457586B (zh) * 2010-10-18 2015-06-03 中兴通讯股份有限公司 一种实现二层网络的扩展方法及扩展的二层网络
CN104410642A (zh) * 2014-12-11 2015-03-11 国家电网公司 基于arp协议的设备接入感知方法
CN104410642B (zh) * 2014-12-11 2017-10-10 国家电网公司 基于arp协议的设备接入感知方法
CN108989271A (zh) * 2017-06-05 2018-12-11 中兴通讯股份有限公司 一种家庭网关端口防攻击的方法和装置
CN107295020A (zh) * 2017-08-16 2017-10-24 北京新网数码信息技术有限公司 一种地址解析协议攻击的处理方法及装置
CN109600273A (zh) * 2018-11-26 2019-04-09 武汉思普崚技术有限公司 一种udp报文传输性能的优化方法及系统

Also Published As

Publication number Publication date
CN101494536B (zh) 2012-01-04

Similar Documents

Publication Publication Date Title
CN107995324B (zh) 一种基于隧道模式的云防护方法及装置
CN101179566B (zh) 一种防御arp报文攻击的方法和装置
CN101415012B (zh) 一种防御地址解析协议报文攻击的方法和系统
US10601766B2 (en) Determine anomalous behavior based on dynamic device configuration address range
CN111130931B (zh) 一种违规外联设备的检测方法及装置
CN105991655B (zh) 用于缓解基于邻居发现的拒绝服务攻击的方法和装置
CN101594269A (zh) 一种异常连接的检测方法、装置及网关设备
US9686316B2 (en) Layer-2 security for industrial automation by snooping discovery and configuration messages
EP2469787A1 (en) Method and device for preventing network attacks
CN107241313B (zh) 一种防mac泛洪攻击的方法及装置
CN102932371B (zh) 实现IPv6私网节点与公网节点之间通信的方法及路由转发设备
CN102111394A (zh) 网络攻击防护方法、设备及系统
CN101321102A (zh) Dhcp服务器的检测方法与接入设备
CN105959282A (zh) Dhcp攻击的防护方法及装置
CN101459653B (zh) 基于Snooping技术的防止DHCP报文攻击的方法
CN101494536A (zh) 一种防arp攻击的方法、装置和系统
CN101552783A (zh) 一种防止伪造报文攻击的方法和装置
CN104065508A (zh) 应用服务健康检查方法、装置和系统
CN102404334A (zh) 拒绝服务攻击防护方法及装置
CN108881233A (zh) 防攻击处理方法、装置、设备及存储介质
CN104202314A (zh) 一种阻止ddos攻击的方法及装置
CN101909007B (zh) 绑定表项生成方法、装置及网络设备
CN101494562B (zh) 一种网络设备上终端表项的维护方法和一种网络设备
CN102158394B (zh) 虚拟路由冗余协议路由器防攻击的方法和接入设备
CN109756520A (zh) 动态访问控制方法、设备及计算机可读存储介质

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant