CN1870627A

CN1870627A - Arp缓存表防攻击方法

Info

Publication number: CN1870627A
Application number: CNA2005100918372A
Authority: CN
Inventors: 李强
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2005-08-09
Filing date: 2005-08-09
Publication date: 2006-11-29
Anticipated expiration: 2025-08-09
Also published as: CN100505757C

Abstract

本发明公开了一种ARP缓存表防攻击方法，该方法通过把ARP缓存表表项生成和更新的信息来源由具有更高可鉴别性的ARP响应报文提供，从而降低了报文被假冒、进而被假冒信息欺骗的可能性，从而减少了被污染攻击的可能性；同时本发明能与现有其它设备中的现有ARP机制保持兼容对接。

Description

ARP缓存表防攻击方法

技术领域

本发明涉及一种网络通信处理方法，尤其涉及一种网络设备的ARP缓存表防攻击方法。

背景技术

数据链路上的设备需要一种方法来发现邻居的数据链路标识(即MAC地址)，以便将数据传送到正确的目的地。因特网的ARP即地址解析协议根据指定的IP地址(即网络层地址)来获取对应的MAC地址(媒体访问控制地址)。

根据因特网标准RFC826，ARP(地址解析协议)的机制是：当一台网络设备需要获取同一链路上的另一台网络设备的MAC地址时，它将组装ARP请求报文，在这个报文中包括：请求设备的MAC地址和IP地址，即发送者MAC地址和发送者IP地址；目标设备的IP地址。然后，ARP请求报文被在数据链路上被广播，即数据链路上的所有设备都将收到该帧，并且必须检查帧内封装的报文。IP地址与ARP请求报文中的目标IP地址相同的目标机将向ARP请求报文的发送者地址发送ARP响应报文，以提供自己的MAC地址，而其他设备则不会发送答复报文。于是，地址解析操作的结果就是发送者获得了目标机的MAC地址，并且在本地的ARP缓存表中记录目标机的MAC地址和IP地址的映射关系。

由于ARP缓存的大小总是有限的，如果ARP表项无限制地增加，那么肯定会充满整个ARP高速缓存的空间。在高速缓存表资源有限的情况下，如果ARP表项都对应着正常的网络设备，那么这是可以接受的；但是，在ARP高速缓存中，如果周期性地存在着一些(甚至大量)无效的ARP表项，那么这就构成了对ARP高速缓存的“污染”。

产生“ARP污染”问题的主要来源之一就是ARP攻击，ARP攻击可直接导致网络设备不能正常发送报文。目前ARP表项的生成或更新是在接收到ARP请求报文、ARP响应报文时，简单地检查目标地址、发送者IP地址、MAC地址的有效性，如果有效，那么读取发送者MAC地址、发送者IP地址值来生成或刷新一条ARP表项。这样，攻击者很容易利用数值上有效的IP地址和MAC地址来发起ARP攻击。

目前还没有防止ARP攻击的一般性方法。对于ARP攻击的预防，协议没有具体的规定，仅仅提供了ARP缓存表的老化机制，以此来保证高速缓存不能被无效的表项所占用，能够及时地删除这些表项。ARP协议没有规定防ARP攻击的标准，其主要原因是基于如下假设：在同一链路下的网络设备一般是在同一楼层或同一单位内部，发生ARP攻击的可能性比较低，即同一链路下的网络设备之间是可信任的，所以不需要关注ARP攻击的问题。但是，随着网络服务的大众化普及，同一链路下的网络设备可能分布于同一社区的不同楼栋之间、不同小区之间、在不同街区之间等等。这样，同一链路下的网络设备之间不再是可信任的，因此必须关注ARP攻击的问题，特别是对ARP老化机制容易遭受的恶意的、周期性的ARP攻击要有相应的应对办法。

发明内容

鉴于上述现有技术所存在的问题，本发明的目的是提供一种能有效防止恶意的周期性攻击、又能与现有的ARP机制保持兼容对接的ARP缓存表的防攻击方法。

本发明的目的是通过以下技术方案实现的：

本发明提供了一种ARP缓存表防攻击方法，包括：该ARP缓存表只根据ARP响应报文的发送者地址信息进行表项的生成和更新，并且所述ARP响应报文应当包括对应的ARP请求报文在发送时随机生成的一个标识。

所述随机生成的标识作为ARP操作码取代发送者IP地址信息填入ARP请求报文的发送者IP地址字段。

所述ARP操作码采用与IP地址一致的格式，由所在子网号与一个随机的主机号构成。

所述ARP操作码的随机选择范围应当是本子网中网络设备还没有使用、为本网络设备保留的那些IP地址。

所述ARP操作码在发送免费ARP请求报文时采用发送者自身的真实IP地址，且还要填入免费ARP请求报文的目标IP地址字段。

所述免费ARP请求报文的接收者在该免费ARP请求报文的目标IP地址不在缓存表中时发送单播的ARP请求报文。

所述ARP响应报文应当在ARP请求报文发出后的一段时间内收到。

由上述本发明提供的技术方案可以看出，本发明通过把ARP缓存表表项生成和更新的信息来源由ARP响应报文提供，并且要求所收到的ARP响应报文应当包括在ARP请求报文发送时随机生成的一个标识，从而大大减少了被污染、攻击的可能性；同时通过使随机生成的标识采用与IP地址一致的格式并作为ARP操作码取代发送者IP地址信息填入ARP请求报文的发送者IP地址字段等相关措施，本发明还能与其它设备现有的ARP机制兼容对接。

附图说明

图1为本发明的ARP操作码工作机制示意图；

图2为本发明的ARP请求报文发送处理流程示意图；

图3为本发明的ARP报文接收处理流程示意图；

具体实施方式

本发明的核心思想是通过鉴别和限制ARP缓存表的信息来源以达到防攻击污染的效果，这种限制和鉴别的措施包括不从ARP请求报文中而只从ARP响应报文中获取IP地址和MAC地址的对应关系、为报文设置随机生成的ARP操作码作为标识来降低ARP响应报文被冒充的可能性。

下面结合附图对本发明作进一步的说明。

现有ARP既能从ARP响应报文中又能从ARP请求报文中获取地址对应关系，但由于ARP响应报文需要以发送ARP请求报文为基础，并以单播方式传送，而且对ARP响应报文的响应时间有定时限制，而ARP请求报文可以随时用广播方式发送，所以攻击者的一个主要手段就是通过发送大量的ARP请求报文来达到攻击污染ARP缓存表的目的。因此，防范方法中首先要采取的措施就是把ARP缓存表表项生成和更新的信息来源由具有可高鉴别性的ARP响应报文来提供，而不能从ARP请求报文中的发送者地址信息中获取IP地址与MAC地址的对应关系。

具有更高可鉴别性的ARP报文是指在发送对应的ARP请求报文时带有一个随机生成标识，并要求相应的ARP响应报文也应当包括一个同样的标识。

为了能更好地与现有的ARP机制兼容，这个标识作为ARP操作码取代发送者IP地址信息填入ARP请求报文的发送者IP地址字段，并且采用与IP地址一致的格式，由所在子网号与一个随机的主机号构成。这样，即便被查询的网络设备采用的是现有的ARP机制，也会通过ARP响应报文的目标IP地址字段把ARP操作码传送回来，从而实现了兼容性。把ARP操作码方式与定时限制的机制相结合，则可以更好地鉴别和确定ARP响应报文是否是与本机先前一段时间内所发送的ARP请求报文相对应的。

如图1所示，网络设备11的IP地址为188.1.1.4，MAC地址为0003.10a1.f024；而网络设备12的IP地址为188.1.1.21，MAC地址为000e.2a11.fc88。网络设备11不知道、但需要知道网络设备12的MAC地址，比如网络设备11是一个网关，从外网中收到一个报文发送给IP地址为188.1.1.21的网络设备12，由于网络设备12与网络设备11同属于一个子网，所以网络设备11需要知道网络设备12的MAC地址，以便把报文直接以单播的方式发送给网络设备12。

在本发明中，网络设备11查询网络设备12时，不是简单地把自己的地址信息(包括IP地址和MAC地址)以及网络设备12的IP地址放入ARP请求报文13中然后以广播的方式(即目标MAC地址为0000.0000.0000)在本地子网中发送；而是用子网号(188.1.1.0)加上一个随机的主机号(比如128)作为ARP操作码(188.1.1.128)代替网络设备11的IP地址填入ARP请求报文13的发送者IP地址字段，然后在本地子网进行广播发送。

采用本发明的网络设备12收到ARP请求报文13时，并不会象现有ARP机制一样根据其中的发送者地址字段的信息即IP地址字段与MAC地址字段内容的对应关系进行ARP缓存表表项的生成或者更新；但是，会象现有ARP中的机制一样把ARP请求报文13中发送者IP地址字段的内容即ARP操作码作为ARP响应报文14中目标IP地址字段的内容，把ARP请求报文13中发送者MAC地址字段的内容作为ARP响应报文14中目标MAC地址字段的内容，同时把自己的地址信息包括IP地址和MAC地址填入ARP响应报文14中，以单播的方式发送给进行查询的网络设备11。

本发明中，网络设备11接收ARP响应报文时，要把报文中目标IP地址字段的内容与发送ARP请求报文时生成的ARP操作码进行比较(而不是与自身的真实IP地址进行比较)，以鉴别该响应报文是否是对先前发送的ARP请求报文的响应。如果该ARP响应报文是对先前一定时间内发送的ARP请求报文的响应，则根据该ARP响应报文中发送者地址信息字段包括IP地址字段和MAC地址字段的内容生成、更新ARP缓存表的表项。

这样一来，为报文设置随机生成的ARP操作码作为标识与现有ARP中用自身IP地址识别报文相比，更能降低ARP响应报文被冒充的可能性，从而更好地防止ARP缓存表被攻击污染。同时，应当注意的是，当一个子网既有采用本发明的网络设备又有采用现有ARP机制的网络设备时，ARP操作码的随机选择范围应当是本子网中还未分配的那些IP地址或者本机的从属IP地址(一般设备允许有多个从属IP地址)；这样，才能避免采用现有ARP机制的网络设备由于从采用本发明的网络设备发送的ARP请求报文中获取地址对应关系而造成混乱。

本发明中，对免费ARP请求报文的处理来有相应的调整。免费ARP请求报文实际上也是一种ARP请求报文，它与普通的ARP请求报文的区别是该报文的发送者IP地址字段的内容与目标IP地址字段的内容一样，这在现有的ARP机制中，其主要的特有功能是用来检测IP地址的冲突。

本发明中，保留了免费ARP请求报文IP地址冲突检测的功能，但同时还具有引发其它网络设备发送ARP请求报文的作用，从而实现地址关系变化的通告的目的。本发明中，发送免费ARP请求报文时填入两个IP地址字段的内容是自身的IP地址，而不是随机生成的ARP操作码，也不生成对应的动态ARP表项；而在接收免费ARP报文时，除了象现有的ARP机制一样当发现其中的目标IP地址字段内容与自身的IP地址相同时发送免费ARP响应报文、报告冲突外；即便没有冲突，也应当进行响应，响应的方式是发送一个单播的ARP请求报文，而不是象现有的ARP机制一样不进行响应。如果能够及时地收到对应的ARP响应报文，则可以及时地进行ARP缓存表表项的生成或者更新。这样，通过对无地址冲突的免费ARP请求报文用单播的ARP请求报文进行响应，能够安全而快速地通告地址对应关系的变化，及时更新ARP缓存表。

这样，本发明ARP请求的发送和报文接收流程大致可以用图2、图3来表示。

如图2所示，发送ARP请求报文时，首先进入步骤21触发ARP请求，这通常是由一些事件引起的，比如需要把报文单播给MAC地址未知的网络设备、地址对应关系发生变化需要通告或者检测IP地址是否发生冲突等；然后进入步骤22判断是否发免费ARP请求报文：如果是，则进入步骤24发送免费ARP请求(此时通常使用真实的IP地址，而不是随机生成的ARP操作码)；否则，进入步骤23生成和记录ARP操作码，再进入步骤25发送本发明规定的ARP请求。发送ARP请求报文(包括免费ARP请求报文)时需要在ARP缓存表中记录相关信息，以便在接收响应报文时进行鉴别核对；发送完成之后就到达步骤26结束。

其中，ARP缓存表可以采用表1所示的形式。ARP除了记录确定的IP地址与MAC地址的对应关系(但不记录自身的IP地址与MAC地址的对应关系)外，还可以用来存放所发送的ARP请求报文的相关信息。通过这个表，本发明可以与现有的ARP机制一样，记录已发送ARP请求报文的目标IP地址(MAC地址则暂记为未知，等待ARP响应报文响应后再动态刷新)、用于确定ARP响应报文是否超时的时间记录比如发送时间等，以便检查鉴别ARP响应报文；此外，本发明的ARP缓存表还多了一个ARP操作码字段，可以进一步提高对ARP响应报文的鉴别力。

表1、网络设备11上的ARP缓存表示意图

IP地址	MAC地址	ARP操作码	时间纪录	……
IP地址	MAC地址	ARP操作码	时间纪录	……	……
188.1.1.21	0000.0000.0000	188.1.1.128	xxxx		……
188.1.1.21	0000.0000.0000	188.1.1.128	xxxx		188.1.1.29	0000.0000.0000	188.1.1.14	xxxx
……					188.1.1.29	0000.0000.0000	188.1.1.14	xxxx

如图3所示，接收ARP报文时，从步骤31接收ARP报文的事件开始，首先进入步骤32判断是否ARP响应报文。

如果是ARP响应报文，则进入步骤34判断相关ARP表项是否存在。如果报文中的“发送者IP地址”不在ARP缓存表中，则进行步骤38判断是否是免费ARP响应，如果是则表明存在IP地址冲突，如步骤42所示，然后进入步骤43结束；如果不是免费ARP响应，直接进入步骤43结束。如果报文中的“发送者IP地址”在ARP缓存表中，则进入步骤37判断ARP操作码与对应ARP表项中记录的是否相等，如果相等，则进入步骤41生成ARP缓存表表项，把报文中发送者IP地址与MAC地址的对应关系记入ARP缓存表，然后进入步骤43结束；如果不相等，直接进入步骤43结束。

如果不是ARP响应报文，则是ARP请求报文，就进入步骤33判断是否是免费ARP请求报文。

如果不是，则进入步骤35判断“发送者IP地址”是否与自身的IP地址一样，如果一样，则表明是向自己发送ARP请求、询问MAC地址，就进入步骤39发送ARP响应报文向对方报告MAC地址，然后进入步骤43结束；如果不一梓，则直接进入步骤43结束。

如果是免费ARP请求的请求报文，则进入步骤36判断相关ARP表项是否存在，如果报文中的“发送者IP地址”不在ARP缓存表中，则进入步骤35判断“发送者IP地址”是否与自身的IP地址一样，如果一样，则表明有冲突，就进入步骤39发送ARP响应报文向对方报告冲突，然后进入步骤43结束；如果不一梓，直接进入步骤43结束。如果报文中的“发送者IP地址”在ARP缓存表中，则进入步骤40发送单播ARP请求报文，等待ARP响应报文；如果ARP响应报文响应超时则做错误处理、删除发送请求报文时动态生成的对应ARP表项后进入步骤43结束。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims

1、一种ARP缓存表防攻击方法，其特征在于，包括：该ARP缓存表只根据ARP响应报文的发送者地址信息进行表项的生成和更新，并且所述ARP响应报文应当包括对应的ARP请求报文在发送时随机生成的一个标识。

2、根据权利要求1所述的ARP缓存表防攻击方法，其特征在于，所述随机生成的标识作为ARP操作码取代发送者IP地址信息填入ARP请求报文的发送者IP地址字段。

3、根据权利要求2所述的ARP缓存表防攻击方法，其特征在于，所述ARP操作码采用与IP地址一致的格式，由所在子网号与一个随机的主机号构成。

4、根据权利要求3所述的ARP缓存表防攻击方法，其特征在于，所述ARP操作码的随机选择范围应当是本子网中网络设备还没有使用、为本网络设备保留的那些IP地址。

5、根据权利要求4所述的ARP缓存表防攻击方法，其特征在于，所述ARP操作码在发送免费ARP请求报文时采用发送者自身的真实IP地址，且还要填入免费ARP请求报文的目标IP地址字段。

6、根据权利要求5所述的ARP缓存表防攻击方法，其特征在于，所述免费ARP请求报文的接收者在该免费ARP请求报文的目标IP地址不在缓存表中时发送单播的ARP请求报文。

7、根据权利要求1至6任一项所述的ARP缓存表防攻击方法，其特征在于，所述ARP响应报文应当在ARP请求报文发出后的一段时间内收到。