ProxyARP如何工作

局域网受到ARP欺骗攻击时的解决方法介绍【故障现象】当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和安全网关，让所有上网的流量必须经过病毒主机。

其他用户原来直接通过安全网关上网现在转由通过病毒主机上网，切换的时候用户会断一次线。

切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。

由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。

当ARP欺骗的木马程序停止运行时，用户会恢复从安全网关上网，切换过程中用户会再断一次线。

【快速查找】在WebUIà系统状态à系统信息à系统历史记录中，看到大量如下的信息:MAC SPOOF 192.168.16.200MAC Old 00:01:6c:36:d1:7fMAC New 00:05:5d:60:c7:18这个消息代表了用户的MAC地址发生了变化，在ARP欺骗木马开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址(即所有信息的MAC New地址都一致为病毒主机的MAC地址)。

同时在安全网关的WebUIà高级配置à用户管理à读ARP表中看到所有用户的MAC地址信息都一样，或者在WebUIà系统状态à用户统计中看到所有用户的MAC地址信息都一样。

如果是在WebUIà系统状态à系统信息à系统历史记录中看到大量MAC Old 地址都一致，则说明局域网内曾经出现过ARP欺骗(ARP欺骗的木马程序停止运行时，主机在安全网关上恢复其真实的MAC地址)。

在上面我们已经知道了使用ARP欺骗木马的主机的MAC地址，那么我们就可以使用NBTSCAN(下载地址:/upload/nbtscan.rar)工具来快速查找它。

1. 1proxy arp代理ARP避免在每一台主机上配置路由表（网关）。

代理arp被路由器作为向主机表明自身可用的一种手段，在这个实验里面，我们将R1和R3仿真成终端主机，当R1需要R3发送报文时（目的为3.3.3.3），在没有配置默认网关的情况下，R1可以向12.1.1.2发送一个ARP请求，本地路由器R2收到这个请求后，并且知道如何到达网络3.3.3.0因此路由器将回复以上请求。

其中把自己的数据链路标示作为ARP回复报文中的硬件地址。

事实上，路由器欺骗了本地的主机R1，让他认为路由器的接口就是3.3.3.3的接口，最终所有发向3.3.3.3的报文都被送往路由器。

以下实验R2和R3通过OSPF保持连通，而R1仿真为终端，注意R1不可配置环回口，否则默认ARP请求会发向环回口。

R3(config)#interface loopback 0R3(config-if)#ip address 3.3.3.3 255.255.255.0 secondaryR3(config-if)#ip address 3.3.3.2 255.255.255.0 secondaryR3(config-if)#ip address 3.3.3.1 255.255.255.0 secondaryR3(config-if)#ip address 3.3.3.4 255.255.255.0 secondaryR3(config-if)#ip address 3.3.3.3 255.255.255.0R3(config-if)#ip ospf network point-to-pointR3（config）#interface serial1R#（config-if）#ipaddress 23.1.1.3 255.255.255.0R3(config-if)#router ospf 10R3(config-router)#router-id 3.3.3.3R3(config-router)#network 0.0.0.0 255.255.255.255 area 0R2(config)#interface loopback 0R2(config-if)#ip address 2.2.2.2 255.255.255.0R2(config-if)#ip ospf network point-to-pointR2(config-if)#interface serial 1R2(config-if)#ip address 23.1.1.2 255.255.255.0R2(config-if)#clockrate 64000R2(config-if)#no shutR2(config)#interface ethernet 0R2(config-if)#ip address 112.1.1.2 255.255.255.0R2(config-if)#router ospf 10R2(config-router)#router-id 2.2.2.2R2(config-router)#network 0.0.0.0 255.255.255.255 area 0R1(config)#interface ethernet 0R1(config-if)#ip address 112.1.1.1 255.255.255.0此时，这种情况下，R1没有R3的路由，R1根本不会去发送ARP请求来解析目的地址，通过以下配置，将R1的路由功能关闭，这个时候R1犹如一个终端主机。

代理arp的工作原理代理 ARP（地址解析协议）是一种网络协议，用于将逻辑地址（如IP地址）映射到物理地址（如MAC地址）。

它的工作原理如下：1. 当一台主机A需要与另一台主机B进行通信时，在发送数据之前，主机A首先会检查自己的ARP缓存（也称为ARP表）中是否有与主机B的IP地址对应的MAC地址。

如果有，则主机A可以直接将数据帧发送到目标MAC地址。

2. 如果主机A的ARP缓存中没有主机B的MAC地址，主机A将广播一个ARP请求（ARP Request）。

该请求中包含主机A的IP地址和MAC地址，并询问网络中的所有主机：“谁是具有IP地址X的主机的MAC地址？”该请求会被链路上的所有主机接收到。

3. 主机B接收到主机A的ARP请求之后，会检查自己的ARP缓存。

如果发现自己的IP地址与请求中的IP地址匹配，主机B会向主机A发送一个ARP响应（ARP Reply），其中包含主机B的IP地址和MAC地址。

4. 主机A接收到主机B的ARP响应后，将主机B的IP地址和MAC地址存储到自己的ARP缓存中，以便将来的通信使用。

5. 主机A使用获取到的主机B的MAC地址，将数据帧直接发送到主机B。

此后，主机A和主机B之间的通信就可以直接通过MAC地址进行。

代理 ARP的工作原理与标准ARP相似，但有一点不同。

在标准ARP中，ARP请求和响应是在同一个局域网（广播域）内进行的。

而代理ARP允许在跨越不同的网络（子网）时使用，通过代理服务器（也可以是路由器）来转发ARP请求和响应。

这样，主机A和主机B可以在不同的子网上，但仍然能够使用ARP来解析彼此的物理地址。

arp协议的主要功能和工作流程咱就开始唠唠这个ARP协议哈。

ARP协议呢，那可是网络世界里一个超有趣的存在。

它的主要功能啊，就像是网络里的一个超级小侦探。

你想啊，在一个网络环境里，有好多好多的设备，就像一群小伙伴在一个大院子里玩耍。

每个设备都有自己的小窝，也就是IP地址，这就好比是每个小伙伴的名字。

但是呢，设备之间通信的时候，光知道名字可不够，还得知道小伙伴住在哪间屋子呀，这时候MAC地址就登场啦，它就像是屋子的门牌号。

ARP协议的主要功能就是把IP地址这个名字和MAC地址这个门牌号对应起来，这样数据就能准确地从一个设备跑到另一个设备啦。

那它是咋工作的呢？咱就把这个过程想象成一场寻宝游戏。

当一个设备，比如说咱们的电脑，想要给网络里的另一个设备发送数据的时候，它首先得知道目标设备的MAC地址。

可是它只知道目标设备的IP地址呀，这就有点头疼了。

这时候，我们的小侦探ARP就开始行动啦。

电脑会在网络里发出一个ARP请求，这个请求就像是在院子里大喊一声：“那个有着这个IP地址的小伙伴，你在哪呀，告诉我你的门牌号呀。

”这个请求是广播形式的，就像在院子里大声广播，所有的设备都能听到。

然后呢，网络里的其他设备就会收到这个请求。

那些设备就会看看这个IP地址是不是自己的，如果不是，就当没听见，继续干自己的事儿。

要是这个IP地址正好是自己的，那就像是被点名了一样，这个设备就会给发出请求的电脑回一个ARP应答，这个应答里就包含了自己的MAC地址，就像是回答：“找我呢，我在这儿呢，这是我的门牌号。

”电脑收到这个应答之后，就会把这个IP地址和MAC地址的对应关系记下来，就像在自己的小本本上记好：这个小伙伴住在这个门牌号啦。

以后再给这个设备发送数据的时候，就可以直接按照这个对应关系把数据送过去啦。

而且呀，这个ARP协议还很聪明呢。

它会把这个对应关系在自己的缓存里保存一段时间，就像记忆一样。

如果在这段时间里又要给这个设备发送数据，就不用再大喊大叫地找门牌号啦，直接从缓存里找出来就可以用啦，这样就节省了不少时间呢。