CN101951367A - 一种校园网防范arp病毒入侵的方法 - Google Patents

Abstract

本发明公开了一种校园网防范ARP病毒入侵的方法，该方法具体步骤如下：(a)将校园网划分成若干个VLAN；(b)将用户IP地址和网卡MAC地址绑定；(c)在核心交换机上绑定用户主机的IP地址和网卡的MAC地址，同时在边缘交换机上将用户计算机网卡的MAC地址和交换机端口绑定的双重安全绑定方式；(d)采用基于网络设备MIB状态库的主动防范。本发明有效的锁定攻击终端、阻断ARP攻击端口，达到有效防范ARP欺骗攻击的目的；大大节省了网络管理员的时间，结合其他防范措施，对检测网段提供安全保障，有效地保证了校园网络正常运行。

Description

一种校园网防范ARP病毒入侵的方法

技术领域

本发明涉及一种防范病毒入侵的方法，具体说是一种校园网防范ARP病毒入侵的方法。

背景技术

近年来，校园网内出现了频繁断网，系统瞬间与服务器断开、不能正常运行、局域网内客户端计算机访问网页变得很慢等现象，严重影响了校园网络的正常运行。经过检测，确定引起这种现象的主要原因是局域网中存在ARP攻击病毒。这种病毒是一种利用地址解析协议ARP(AddressResolution Protocol)的漏洞进行攻击和欺骗。有效地防范ARP网络攻击已成为确保校园网络畅通的必要条件。

ARP病毒属于一种欺骗木马类病毒，主要发生在局域网内部，局域网感染ARP病毒后主要表现为：1)局域网中某个网段的计算机不能正常上网，网络连接时断时续，上网速度非常缓慢；2)IE浏览器频繁出错，网页打不开或者打开速度非常慢；3)局域网整个网络运行不稳定，ping网关时不通，或者丢包现象很严重；4)断开网络后，隔一段时间重新连接，或者利用arp-d命令删除ARP缓存表后，可暂时恢复上网。

ARP(Address Resolution Protocol)即地址解析协议，是位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。每台安装有TCP/IP协议的计算机里都有一个ARP缓存表，表里的IP地址与MAC地址一一对应。在局域网中，网络中实际传输的是“帧”，帧里面有目标主机的MAC地址。在以太网中，一个主机和另一个主机进行直接通信，必须要通过地址解析协议获得目标主机的MAC地址。“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。

ARP病毒是一种木马程序，其本质就是利用ARP本身的漏洞进行ARP欺骗。从影响网络连接通畅的方式来看，ARP欺骗分为两种：一种是对路由器ARP表的欺骗，另一种是对内网计算机的网关欺骗。

第一种ARP欺骗的原理是截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址。第二种ARP欺骗的原理是伪造网关。就是建立假网关，让被它欺骗的主机向假网关发数据，而不是通过正常的路由器途径上网，造成网内互通，但上不了网。

发明内容

发明目的：本发明的目的是为了克服现有技术的不足，提供了一种校园网防范ARP病毒入侵的方法。

技术方案：为了解决上述技术问题，本发明提供了一种校园网防范ARP病毒入侵的方法，该方法为：

(a)将校园网划分成若干个VLAN；

(b)将用户IP地址和网卡MAC地址绑定；

(c)在核心交换机上绑定用户主机的IP地址和网卡的MAC地址，同时在边缘交换机上将用户计算机网卡的MAC地址和交换机端口绑定的双重安全绑定方式；

(d)采用基于网络设备MIB状态库的主动防范。

本发明中所述步骤(d)具体步骤如下：

(1)读取网络里所有ARP表，包括欺骗的ARP表项，生成全网ARP表；

(2)判定是否有ARP欺骗发生，即全网ARP表进行判断，出现相同的MAC时，则认为该MAC对应的PC有ARP欺骗发生；

(3)定位ARP欺骗源；

(4)主动隔离ARP欺骗源。

有益效果：本发明所述的一种校园网防范ARP病毒入侵的方法，与现有技术相比，具有以下优点：本发明中利用SNMP协议从网络设备MIB状态库的上获取ARP欺骗相关信息，确定是否存在ARP欺骗及ARP欺骗者的MAC地址，并能自动的屏蔽欺骗源。本方案不需要添加额外的设备，代价小，效率高，特别适合在较大规模的网络中部署。

具体实施方式

下面结合具体实施例，进一步阐明本发明，应理解这些实施例仅用于说明本发明而不用于限制本发明的范围，在阅读了本发明之后，本领域技术人员对本发明的各种等价形式的修改均落于本申请所附权利要求所限定。

实施例

某学院的网络主干设备主要采用锐捷路由交换机及其他交换机五十台。采用千兆单模光纤接入校园网。光纤通达学院各座楼宇，接入计算机2000余台。为了有效地防止ARP的攻击，根据学院网络的实际情况，采用如下方法来防范ARP病毒入侵。

(a)以院系、科室为单位划分Vlan。利用ARP攻击的原理，将ARP攻击尽量缩小到一个可以承受的范围。方法为核心交换、汇聚层交换以及二层接入交换机之间试用trunk连接，以保证每台交换机都可以使用任何一个Vlan；然后以院系、科室为单位划分Vlan，确保同一部门的电脑在一个Vlan内；终端较少的科室则以楼层或者楼宇为单位划分Vlan。学生宿舍终端较多，因此划分多个vlan。

(b)使用计费认证系统实现MAC地址与账号捆绑。

(c)在核心交换机上绑定用户主机的IP地址和网卡的MAC地址，同时在边缘交换机上将用户计算机网卡的MAC地址和交换机端口绑定的双重安全绑定方式；

(d)采用基于网络设备MIB状态库按照如下步骤的主动防范。

步骤(1)读取网络里所有ARP表(包括欺骗的ARP表项)，生成全网ARP表——all_arp_table

该步骤应该读取三层设备的相关MIB变量，涉及的MIB变量如下：ARP表中的端口索引值，OID为：

.1.3.6.1.2.1.2.4.22.1.1

ARP表中的MAC地址，OID为：

.1.3.6.1.2.1.2.4.22.1.2

ARP表中的IP地址，OID为：

.1.3.6.1.2.1.2.4.22.1.3

通过遍历ARP表中的端口索引值，对应获取对应的mac_ip内容，填充到表all_arp_table。

步骤(2)判定是否有ARP欺骗发生

由ARP协议的原理可以知道在正常情况下MAC和IP的对应关系应该是一一对应的，如果出现多个IP对应一个MAC，则证明出现了ARP欺骗。所以只要对all_arp_table表进行判断，出现相同的MAC时，则认为该MAC对应的PC有ARP欺骗现象。

步骤(3)定位ARP欺骗源

该步骤应该读取二层设备的相关MIB变量，涉及的MIB变量如下：

FDB表中的MAC地址，OID为：

.1.3.6.1.2.1.17.4.3.1.1(用于查找出现ARP欺骗的MAC)。

FDB表中的端口索引值，OID为：

.1.3.6.1.2.1.17.4.3.1.2(定位出现ARP欺骗的MAC的交换机端口)。

通过步骤(2)中确定的MAC，利用FDB表的相关信息定位具体的交换机端口。

步骤(4)主动隔离ARP欺骗源

此时已经知道具体的交换机的具体端口出现问题，只要将该端口关闭就可以了，为了能主动实现该功能，可以利用MIB变量来实现。涉及的MIB变量为交换机端口状态，OID为：.1.3.6.1.2.1.2.2.1.7，该变量是可以写的，我们使用SNMP操作就可以关闭该端口。

通过上述步骤实现了对ARP病毒入侵的防御。

Claims (2)

1.一种校园网防范ARP病毒入侵的方法，其特征在于：该方法为：

(a)将校园网划分成若干个VLAN；

(b)将用户IP地址和网卡MAC地址绑定；

(c)在核心交换机上绑定用户主机的IP地址和网卡的MAC地址，同时在边缘交换机上将用户计算机网卡的MAC地址和交换机端口绑定的双重安全绑定方式；

(d)采用基于网络设备MIB状态库的主动防范。

2.根据权利要求1所述的一种校园网防范ARP病毒入侵的方法，其特征在于：所述步骤(d)具体步骤如下：

(1)读取网络里所有ARP表，包括欺骗的ARP表项，生成全网ARP表；

(2)判定是否有ARP欺骗发生，即全网ARP表进行判断，出现相同的MAC时，则认为该MAC对应的PC有ARP欺骗发生；

(3)定位ARP欺骗源；

(4)主动隔离ARP欺骗源。