当前位置：文档之家 › H3C ARP攻击防御典型配置案例

H3C ARP攻击防御典型配置案例

  • 格式：doc
  • 大小：1.94 MB
  • 文档页数：30

ARP攻击防御目录目录第1章 ARP攻击防御功能介绍 ................................................................................................... 1-11.1 ARP攻击简介.................................................................................................................... 1-11.2 ARP攻击防御.................................................................................................................... 1-41.2.1 DHCP Snooping功能............................................................................................. 1-41.2.2 IP静态绑定功能...................................................................................................... 1-51.2.3 ARP入侵检测功能.................................................................................................. 1-51.2.4 ARP报文限速功能.................................................................................................. 1-61.2.5 CAMS下发网关配置功能....................................................................................... 1-61.3 ARP攻击防御配置指南..................................................................................................... 1-71.4 支持ARP攻击防御功能的产品列表.................................................................................. 1-8第2章 ARP攻击防御配置举例 ................................................................................................... 2-12.1 DHCP监控模式下的ARP攻击防御配置举例................................................................... 2-12.1.1 组网需求................................................................................................................. 2-12.1.2 组网图..................................................................................................................... 2-22.1.3 配置思路................................................................................................................. 2-22.1.4 配置步骤................................................................................................................. 2-22.1.5 注意事项................................................................................................................. 2-62.2 认证模式下的ARP攻击防御配置举例.............................................................................. 2-72.2.1 组网需求................................................................................................................. 2-72.2.2 组网图..................................................................................................................... 2-72.2.3 配置思路................................................................................................................. 2-82.2.4 配置步骤................................................................................................................. 2-82.2.5 注意事项............................................................................................................... 2-19防ARP攻击摘要防ARP攻击配置举例关键词：ARP、DHCP Snooping摘要：本文主要介绍如何利用以太网交换机DHCP监控模式下的防ARP攻击功能，防止校园网中常见的“仿冒网关”、“欺骗网关”、“欺骗终端用户”、ARP泛洪等攻击形式。

同时，详细描述了组网中各个设备的配置步骤和配置注意事项，指导用户进行实际配置。

缩略语：ARP（Address Resolution Protocol，地址解析协议）MITM（Man-In-The-Middle，中间人攻击）第1章 ARP攻击防御功能介绍近来，许多校园网络都出现了ARP攻击现象。

严重者甚至造成大面积网络不能正常访问外网，学校深受其害。

H3C公司根据ARP攻击的特点，提出了“全面防御，模块定制”的ARP攻击防御理念，并给出了两种解决方案。

(1) DHCP监控模式下的ARP攻击防御解决方案这种方式适合动态分配IP地址的网络场景，需要接入交换机支持DHCP Snooping功能。

通过全网部署，可以有效的防御“仿冒网关”、“欺骗网关”、“欺骗终端用户”、“ARP中间人攻击”、“ARP泛洪攻击”等校园网中常见的ARP攻击方式；且不需要终端用户安装额外的客户端软件，简化了网络配置。

(2) 认证方式下的ARP攻击防御解决方案这种方式适合网络中动态分配IP地址和静态分配IP地址共存的网络场景，且只能防御“仿冒网关”的ARP攻击方式。

它不需要在接入交换机上进行特殊的防攻击配置，只需要客户端通过认证协议（802.1x）登录网络，认证服务器（如CAMS服务器）会识别客户端，并下发网关的IP/MAC对应关系给客户端，来防御“仿冒网关”攻击。

1.1 ARP攻击简介按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。

这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。

校园网中，常见的ARP攻击有如下几中形式。

(1) 仿冒网关攻击者伪造ARP报文，发送源IP地址为网关IP地址，源MAC地址为伪造的MAC地址的ARP报文给被攻击的主机，使这些主机更新自身ARP表中网关IP地址与MAC地址的对应关系。

这样一来，主机访问网关的流量，被重定向到一个错误的MAC地址，导致该用户无法正常访问外网。

图1-1“仿冒网关”攻击示意图(2) 欺骗网关攻击者伪造ARP报文，发送源IP地址为同网段内某一合法用户的IP地址，源MAC 地址为伪造的MAC地址的ARP报文给网关；使网关更新自身ARP表中原合法用户的IP地址与MAC地址的对应关系。

这样一来，网关发给该用户的所有数据全部重定向到一个错误的MAC地址，导致该用户无法正常访问外网。

图1-2“欺骗网关”攻击示意图(3) 欺骗终端用户攻击者伪造ARP报文，发送源IP地址为同网段内某一合法用户的IP地址，源MAC 地址为伪造的MAC地址的ARP报文给同网段内另一台合法主机；使后者更新自身ARP表中原合法用户的IP地址与MAC地址的对应关系。

这样一来，网段内的其他主机发给该用户的所有数据都被重定向到错误的MAC地址，同网段内的用户无法正常互访。

图1-3“欺骗终端用户”攻击示意图(4) “中间人”攻击ARP “中间人”攻击，又称为ARP双向欺骗。

如图1-4所示，Host A和Host C通过Switch进行通信。

此时，如果有恶意攻击者（Host B）想探听Host A和Host C 之间的通信，它可以分别给这两台主机发送伪造的ARP应答报文，使Host A和Host C用MAC_B更新自身ARP映射表中与对方IP地址相应的表项。

此后，Host A 和Host C之间看似“直接”的通信，实际上都是通过黑客所在的主机间接进行的，即Host B担当了“中间人”的角色，可以对信息进行了窃取和篡改。

这种攻击方式就称作“中间人（Man-In-The-Middle）攻击”。

合集下载

H3C ARP攻击防御解决方案

H3C ARP攻击防御解决方案

“全面防御，模块定制”H3C ARP攻击防御解决方案1 前言当计算机连接正常，却无法打开网页；或者计算机网络出现频繁断线，同时网速变得非常慢，这些都可能是网络中存在ARP欺骗攻击所表现出来的网络现象。

ARP欺骗攻击不仅会造成联网不稳定，引发用户无法上网，或者企业断网导致重大生产事故，而且利用ARP欺骗攻击可进一步实施中间人攻击，以此非法获取到游戏、网银、文件服务等系统的帐号和口令，对被攻击者造成利益上的重大损失。

因此ARP欺骗攻击是一种非常恶劣的网络攻击行为。

ARP攻击已经对各行各业网络造成了巨大威胁，但一直没有得到有效的解决。

连我们熟知的杀毒软件、防火墙都挡不住ARP 欺骗攻击。

主要由于ARP欺骗攻击的木马程序，通常会伪装成常用软件的一部分被下载并被激活，或者作为网页的一部分自动传送到浏览者的电脑上并被激活，或者通过U盘、移动硬盘等方式进入网络。

由于木马程序的形态特征都在不断变化和升级，杀毒软件常常会失去作用。

2 方案概述分析ARP攻击的特点，结合市场实际需求，H3C公司推出了全面有效的ARP攻击防御解决方案。

“全面防御，模块定制” H3C ARP攻击防御解决方案H3C ARP攻击防御解决方案通过对客户端、接入交换机和网关三个控制点实施自上而下的“全面防御”，并且能够根据不同的网络环境和客户需求进行“模块定制”，为用户提供多样、灵活的ARP攻击防御解决方案。

H3C提供两类ARP攻击防御解决方案：监控方式，认证方式。

监控方式主要适用于动态接入用户居多的网络环境，认证方式主要适用于认证方式接入的网络环境；实际部署时，建议分析网络的实际场景，选择合适的攻击防御解决方案。

另外，结合H3C独有的iMC智能管理中心，可以非常方便、直观的配置网关绑定信息，查看网络用户和设备的安全状况，不仅有效的保障了网络的整体安全，更能快速发现网络中不安全的主机和ARP攻击源，并迅速做出反映。

3 功能特点更灵活。

提供监控模式和认证模式两大类方案，组网方式多样、灵活。

H3C-ARP病毒攻击防御宝典--典型行业组网和配置指南

H3C-ARP病毒攻击防御宝典--典型行业组网和配置指南

H3C ARP病毒攻击防御宝典--典型行业组网和配置指南典型组网方案一、应用场景（一）——普 / 职教基本采用动态IP网络，建议完全按照动态IP网络防御方案部署。

二、应用场景（二）——星级酒店基本采用动态IP网络，建议完全按照动态IP网络防御方案部署。

三、应用场景（三）——连锁型酒店基本采用动态IP网络，参考动态IP网络防御方案，综合考虑建议在出口路由器和核心交换机进行防御，接入层通过隔离技术避免攻击。

四、应用场景（四）——中小型企业静态IP网络参考静态IP网络防御方案，出于成本考虑可以在路由器和核心交换机上进行防御，在PC上绑定网关信息，可防御大多数ARP病毒。

五、应用场景（五）——中小型企业动态IP网络建议完全按照动态IP网络防御方案进行部署。

常用配置指南1、WEB方式，启用ARP防攻击、防欺骗功能，发送免费ARP报文。

在路由器等网络设备的“ARP防攻击”WEB管理页面，开启防攻击、防欺骗的功能。

同时，可以设置指定的时间间隔，向局域网内PC终端和服务器定期发送正确的网关ARP信息。

当网内受到错误的ARP广播包攻击时，路由器广播的正确ARP包就可以及时和消除攻击包的影响。

2、WEB方式，设置IP/MAC表，可以一键绑定：在路由器等网络设备的“IP/MAC表”web管理页面上，既可以直观地手工添加IP/MAC绑定信息，还在所有PC都能正常上网时，动态搜索ARP表，将网内PC机的IP地址和MAC对应关系通过“导入到IP/MAC绑定表”，实现一键绑定功能。

3、PC上做静态ARP绑定IP/MAC地址的配置方法：在微软操作系统中，打开windows的命令行提示符如下：通过“arp-s ＋IP如192.168.1.1＋MAC地址”这一条命令来实现对网关/服务器等重要设备的ARP条目的静态绑定，可以看到在arp -a 命令的输出中，已经有了我们刚才添加的条目，Type类型为static表示是静态添加的。

其它操作系统命令行中也都有ARP命令，操作类似。

华为（H3C）3600、3900交换机阻止ARP病毒配置

华为（H3C）3600、3900交换机阻止ARP病毒配置

华为（H3C）3600、3900交换机阻止ARP病毒配置如何使用华为(H3C)3600、3900交换机阻止ARP病毒ARP病毒会在LAN中宣告自己是网关，具体做法找到局域网网关的IP，然后发送ARP广播，宣称网关IP对应的MAC地址是自己的网卡MAC地址。

局域网中其他计算机在收到这个广播后，会更新自己的ARP缓存列表，以后的其他计算机原本发往网关的数据包将会发送到中了ARP病毒的计算机。

该中毒计算机将会分析这些数据包，从中获取如邮箱帐号密码、QQ登录帐号密码等敏感信息，并且因中毒计算机要分析这些信息，可能来不及将数据包全部转发到真正的网关去（或许根本就不转发），从而造成其他计算机上网缓慢（甚至中断）。

解决这个问题的方法是阻止中了ARP病毒的计算机发送宣称自己是网关的ARP广播，这样就不能对局域网中的其他计算机造成危害了。

只有智能的交换机才有这样的功能，下面是在H3C的S3900和S3600系列的交换机上实现的例子（本人测试通过）：环境描述：局域网IP地址范围：192.168.2.0/24，网关是192.168.2.254交换机：H3C S3952，端口48上接的是网关，定义自定义的ACL：acl number 5000rule 0 deny 0806 ffff 16 c0a802fe ffffffff 32解释：rule 0 ：规则序号为0，当规则下发到硬件中执行时，序号不起作用；deny ：禁止；0806 ffff ：IP数据包中的协议号，0806表示ARP广播。

其中ffff 是掩码，“0806 ffff”的意思是只有目标区域等于0806才算是匹配，如果掩码是fff0，则目标区域是0805、0806、0807等都可以匹配；16 ：协议号0806在数据包中的偏移地址。

此偏移量根据不同的交换机型号、不同的交换板型号、不同的配置（VLAN,VPN等）的配置有所不同。

根据网上的资料，可能的值会有：16、20、24、40，并且肯定是偶数。

S5000解决方案ARP攻击防御(商业)开局配置指导书

S5000解决方案ARP攻击防御(商业)开局配置指导书

解决方案ARP攻击防御(商业)开局配置指导书目录1 产品和版本................................................................... . (6)2 S5000E和S5000P的ARP攻击防御联动 (6)2.1 测试组网图................................................................... (6)2.2 组网说明................................................................... (7)2.3 具体配置说明................................................................... .. (7)2.4 ARP攻击防御联动说明和注意事项 (12)3 S5000E的ARP攻击防御配置................................................................... .. (13)3.1 测试组网说明................................................................... (13)3.2 组网说明：................................................................. (13)3.3 具体配置说明................................................................... (14)3.4 ARP攻击防御联动说明和注意事项 (16)4 ER3100的ARP攻击防御功能................................................................... .. (17)4.1 功能描述................................................................... . (17)4.2 组网具体配置................................................................... (17)4.3 注意事项................................................................... . (20)5 MSR5006的ARP攻击防御功能................................................................... .. (21)5.1 功能描述................................................................... . (21)5.2 组网配置................................................................... . (21)5.3 注意事项................................................................... . (22)6 S5100SI上的ARP攻击防御功能................................................................... (22)6.1 功能描述................................................................... . (22)6.2 具体配置................................................................... . (22)6.3 注意事项................................................................... . (23)7 S3600EI/E328的ARP攻击防御功能....................................................................247.1 功能描述................................................................... . (24)7.2 配置说明................................................................... . (24)7.3 注意事项................................................................... . (26)8 S3100EI/E126A的配置................................................................... .. (26)8.1 功能描述：................................................................. (26)8.2 配置说明................................................................... . (26)表目录表1 产品版本配套表................................................................... (6)图目录图1 S5000E和S5000P ARP攻击防御联动组网 (6)图2 S5000E防ARP欺骗组网................................................................... . (13)1产品和版本表1 产品版本配套表2S5000E和S5000P的ARP攻击防御联动2.1测试组网图图1 S5000E和S5000P ARP攻击防御联动组网2.2组网说明S5000E和S5000P上都作为二层交换机；二者之间配置trunk链路；S5000E上配置dhcp-snooping；S5000E和S5000P之间ARP攻击防御的联动；S5000E通过DHCP-Snooping获得IP+MAC+PORT+VLAN的四元绑定，将四元绑定下发给S5000P，S5000P利用四元绑定的表项进行ARP攻击防御；S5000E上也可以手工进行四元绑定，同样的方式下发给S5000P进行ARP攻击防御；2.3具体配置说明1、在S5000E上配置ARP欺骗的联动功能首先，在“安全专区→IP过滤→联动防ARP欺骗”中开启“联动防ARP欺骗功能”。