被ARP攻击了，如何揪出"内鬼"，并"优雅的还手"？

如何进行有效的 ARP 防御？作为普通用户怎么防御？作为网络/安全管理员又怎么防御？有哪些 ARP 防御软件？如果被 ARP 攻击了，如何揪出"内鬼"，并"优雅的还手"？

ARP 防御概述

通过之前的文章，我们已经了解了 ARP 攻击的危害，黑客采用 ARP 软件进行扫描并发送欺骗应答，同处一个局域网的普通用户就可能遭受断网攻击、流量被限、账号被窃的危险。

由于攻击门槛非常低，普通人只要拿到攻击软件就可以扰乱网络秩序，导致现在的公共网络、家庭网络、校园网、企业内网等变得脆弱无比。

所以，如何进行有效的 ARP 防御？作为普通用户怎么防御？作为网络/安全管理员又怎么防御？有哪些 ARP 防御软件？如果被 ARP 攻击了，如何揪出"内鬼"，并"优雅的还手"？

接下来，我们通过图解的方式来深入了解 ARP 防御原理与解决方案。

ARP 防御原理与解决方案

在讲解 ARP 防御之前，我们先回顾下 ARP 攻击最经典的一幕。

当 PC1 询问 PC2 的 MAC 地址时，攻击者 PC3 返回 ARP 欺骗回应包：我的 IP 地址是 IP2，MAC 地址是 MAC3。一旦 PC1 记录了错误的 ARP 映射，则发给 PC2 的数据，都会落到 PC3 手里。

也就是说，ARP 攻击的罪魁祸首便是这种"欺骗包"，若针对欺骗包的处理是不相信或不接收的话，则不会出现问题。处理这种欺骗行为我们没法提前在黑客端做手脚，因为"敌在暗处我在明处"。

这样的话，我们就剩下两个解决方法：

保证电脑不接收欺骗包。

保证电脑收到欺骗包之后不相信。

保证电脑不接收欺骗包。

保证电脑收到欺骗包之后不相信。

目前网络安全行业现有的 ARP 防御方案，基本都是上面两个方法的具体实现。

我们来看看下面这张防御图：

当黑客发起 ARP 欺骗包时，会途径局域网里面的交换机或无线路由器等网络设备。

如果网络设备能够识别这种欺骗包，并且提前丢弃掉，则电脑/手机端就不会被欺骗。

如果网络设备没有拦截这种欺骗包，则电脑/手机端需要做安全防御，然后再丢弃。

当黑客发起 ARP 欺骗包时，会途径局域网里面的交换机或无线路由器等网络设备。

如果网络设备能够识别这种欺骗包，并且提前丢弃掉，则电脑/手机端就不会被欺骗。

如果网络设备没有拦截这种欺骗包，则电脑/手机端需要做安全防御，然后再丢弃。

简单来说，ARP 防御可以在网络设备上实现，也可以在用户端实现，更可以在网络设备和用户端同时实现。

接下来，我们先来了解下网络设备（例如这里的交换机）的防御技术。

上面这张图，展现的是交换机的 ARP 防御能力，当 PC2 发送 ARP 回应包时，交换机将其转发给 PC1，而当 PC3 发送 ARP 回应包（欺骗）时，交换机直接丢弃。

但是，人家 PC3 上脸上又没有写着"hacker"，凭什么交换机要丢弃它的 ARP 回应包？凭什么判断它的包就是"欺骗"的呢？

接下来，我就要给大家介绍下局域网安全里比较常用的防御技术，这种防御技术被称为 DAI（Dynamic ARP Inspection）- 动态 ARP 检测。

它的原理可以用两句话简单概括：

交换机记录每个接口对应的 IP 地址和 MAC，即 port<->mac<->ip，生成 DAI 检测表。

交换机检测每个接口发送过来的 ARP 回应包，根据 DAI 表判断是否违规，若违规则丢弃此数据包并对接口进行惩罚。

交换机记录每个接口对应的 IP 地址和 MAC，即 port<->mac<->ip，生成 DAI 检测表。

交换机检测每个接口发送过来的 ARP 回应包，根据 DAI 表判断是否违规，若违规则丢弃此数据包并对接口进行惩罚。

我们知道，PC3 是在交换机的 Port3、MAC 地址是 MAC3，IP 地址是 IP3，所以本地 DAI 表项内容是<port3-mac3-ip3>。

当交换机从接口 Port3 收到 ARP 回应包，内容却是 IP2 和 MAC3 映射，即<port3-mac3-ip2>。

经判断，这个包就是虚假的欺骗包，交换机马上丢弃这个包，并且可以对接口做惩罚（不同设备的惩罚方式有所不同，可以直接将接口"软关闭"，直接将攻击者断网；也可以"静默处理"，仅丢弃欺骗包，其他通信正常）。

上面这个动态 ARP 监测技术，可以说是目前防御 ARP 攻击最有效的方法之一。

作为初学者，大家可能还会有三个疑问：

一般的交换机或网络设备能部署动态 ARP 监测技术吗？

连接用户的交换机，怎么能识别 IP 地址信息呢？

上面这张 DAI 表是如何生成的？是不是像 CAM 表一样能自动识别？

一般的交换机或网络设备能部署动态 ARP 监测技术吗？

连接用户的交换机，怎么能识别 IP 地址信息呢？

上面这张 DAI 表是如何生成的？是不是像 CAM 表一样能自动识别？

这里要给大家说个稍微悲伤一点的事实，大部分能支持这种动态 ARP 监测技术的交换机或者无线路由器，都基本是企业级的产品。

即便是企业级交换机，具备局域网安全防御功能的设备，价格都要高出不少。所以很多中小型企业网或校园网，基本都愿意买"阉割版"网络接入产品，因为"能通就行"，至于安全性怎样，这是另外要考虑的问题。

所以，简单的交换机不具备动态 ARP 监测技术，即便市面上有带安全防御的网络产品，企业、学校、医院等大量网络，仍然在早期采购的时候，用的是比较基础版本的交换机。

当然，随着网络与安全市场的激烈竞争和网络安全意识的增强，以后会越来越好。

另外，交换机能识别 IP 地址信息吗？

从现在的网络技术来看，分层界限越来越模糊，融合式的网络设备才是主流，现在的接入交换机基本能被 Telnet/SSH/Web 管理。

更专业的交换机同时支持动态 ARP 监测（dai）、IP 源防护（ipsg）、DHCP侦听（dhcp snooping）、端口安全、AAA、802.1x 等局域网安全技术，已经超越了原有二层交换机的定义。

所以，交换机能读三层甚至七层的数据包已经不是什么新鲜事了，不要被"交换机就是二层设备"给束缚了，这只是纸面上的定义。

最后一个问题，DAI 检测表是如何生成的？

在上面图解中，我们看到交换机查看的表已经不是原来的 CAM 表了，内容也不太一样，CAM 表的内容主要是 MAC 和 Port 的映射，而 DAI 检测表则是 Port、MAC、IP三个信息映射。

目前这张表支持两种方式来生成：

第一种方式就是手工静态绑定。即用户接入网络之后，管理员根据此用户电脑的 MAC 和 IP 地址，然后在接口上绑死，缺点就是用户数太多的话，手工绑定管不过来。

第二种方式就是目前最主流的做法，即在交换机上开启 DHCP 侦听技术。当用户第一次通过 DHCP 获取到地址的时候，交换机就把用户电脑的 IP、MAC、Port 信息记录在 DHCP 侦听表，后面 ARP 检测直接调用这张 DHCP 侦听表即可。

小结

以上便是在网络设备上部署的 ARP 防御技术，通过动态 ARP 监测技术（DAI），可以很好的解决 ARP 欺骗问题。

技术虽好，但局域网内的交换机、无线路由器是否支持 DAI，这个则取决于实际网络情况，尤其是十面埋伏的公共 WiFi 网络、脆弱无比的家庭网络、能通就行的校园网络......

我们都应该持怀疑态度，至少不能完全信任这些网络。

既然这样的话，普通用户有没有"自救"的方法，能够抵挡 ARP 攻击呢？答案是肯定的。

对于普通用户，陌生网络不要随意接入，肯定是首选考虑的；当然，这里研究的是用户已经接入了网络，如何做安全防御的问题。

从上图可以看到，用户（电脑或手机）最重要的是通过安装 ARP 防火墙做安全防御，很多普通用户甚至“以电脑裸奔为豪，以骂安全厂商为荣”，这是对技术的严重藐视，对自己隐私的不负责任。

普通小白一定要记住一句话：你没有被黑，只是你还没有到达被黑的价值。

ARP 防火墙在技术实现上，一般都有以下功能：

绑定正确的的 IP 和 MAC 映射，收到攻击包时不被欺骗。

能够根据网络数据包特征（参考上一篇讲解的 ARP 攻击数据包溯源分析），自动识别局域网存在的 ARP 扫描和欺骗行为，并做出攻击判断（哪个主机做了攻击，IP 和 MAC 是多少）。

绑定正确的的 IP 和 MAC 映射，收到攻击包时不被欺骗。

那么，有哪些常见的ARP安全产品呢？

自带 ARP 防御功能：腾讯电脑管家、360 安全卫士……

专业的 ARP 防火墙：彩影 ARP、金山贝壳、360ARP 防火墙……

自带 ARP 防御功能：腾讯电脑管家、360 安全卫士……

专业的 ARP 防火墙：彩影 ARP、金山贝壳、360ARP 防火墙……

采用安全产品肯定是普通用户最省时省力的做法，而对于技术人/工程师而言，如果不屑于使用安全产品，并且希望解决 ARP 攻击行为，也可以通过"ARP 双向绑定"的技术来实现。

什么是"ARP 双向绑定"呢？

从上图可以看到，PC1 和 PC2 通信双方都静态绑定对方的 IP 和 MAC 映射，即便收到 ARP 欺骗包，由于静态绑定的 ARP 映射条目优先级高于动态学习到的，所以可以保证不被欺骗。

这种做法非常"绿色无污染"，因为不需要额外的软件安装，但是缺点也非常明显，例如普通用户不知道如何在电脑上做 ARP 静态绑定，另外工作量也比较大，每个主机和网关设备都需要绑定整个局域网的 ARP 静态映射。

以下面的家庭 WiFi 网络为例：

像这个 WiFi 网络，如果通过 ARP 双向绑定来解决安全问题，配置量其实蛮大的，当然，这就基本能够保障内网主机间通过以及主机访问互联网的安全性了。

Windows ARP 静态绑定方法：

进入命令行 cmd 界面。

[arp -s ip 地址 mac 地址]，例如：arp -s 192.168.1.1 00-11-22-a1-c6-09

注：家用无线路由器若要进行 ARP 绑定，则需要通过 Web 登录并进行图形操作。

进入命令行 cmd 界面。

[arp -s ip 地址 mac 地址]，例如：arp -s 192.168.1.1 00-11-22-a1-c6-09