arp攻击怎么解决 arp断网攻击彻底解决的方法

arp攻击怎么解决

本文为你详解arp攻击怎么解决和arp断网攻击彻底解决的方法的相关知识，一定能解决您的问题的，一起来了解吧！

前面我给大家剖析了了ARP故障及其解决办法，这里我以华为设备为例给各位小伙伴讲讲ARP攻击以及抵御攻击我们该做哪些防范配置。

讲到攻击与防范，我觉得还是有必要先讲讲ARP安全原理。下面我从7个方面来讲讲ARP安全原理。

1.ARP报文限速

如果设备对收到的大量ARP报文全部进行处理，可能导致CPU负荷过重而无法处理其他业务。因此，在处理之前，设备需要对ARP报文进行限速，以保护CPU资源。

@根据源MAC地址或源IP地址进行ARP报文限速：当设备检测到某一个用户在短时间内发送大量的ARP报文，可以针对该用户配置基于源MAC地址或源IP地址的ARP报文限速。在1秒时间内，如果该用户的ARP报文数目超过设定阈值（ARP报文限速值），则丢弃超出阈值部分的ARP报文。

@针对全局和接口的ARP报文限速：设备支持在全局和接口下配置ARP报文的限速值和限速时间，当同时在全局和接口下配置ARP报文的限速值和限速时间时，设备会先按照接口进行限速，再按照全局进行限速。

2.ARP Miss消息限速

如果网络中有用户向设备发送大量目标IP地址不能解析的IP报文（即路由表中存在该IP报文的目的IP对应的路由表项，但设备上没有该路由表项中下一跳对应的ARP表项），将导致设备触发大量的ARP Miss消息。这种触发ARP Miss消息的IP报文（即ARP Miss报文）会被上送到主控板进行处理，设备会根据ARPMiss消息生成和下发大量临时ARP表项并向目的网络发送大量ARP请求报文，这样就增加了设备CPU的负担，同时严重消耗目的网络的带宽资源。

3.ARP表项严格学习

ARP表项严格学习是指只有本设备主动发送的ARP请求报文的应答报文才能触发本设备学习ARP，其他设备主动向本设备发送的ARP报文不能触发本设备学习ARP，这样，可以拒绝大部分的ARP报文攻击。

通常情况下，当UserA向Gateway发送ARP请求报文后，Gateway会向UserA回应ARP应答报文，并且添加或更新UserA对应的ARP表项。当Gateway配置ARP表项严格学习功能以后：

①对于Gateway收到UserA发送来的ARP请求报文，Gateway不添加也不更新UserA对应的ARP表项。如果该请求报文请求的是Gateway的MAC地址，那么Gateway会向UserA回应ARP应答报文。

②如果Gateway向UserB发送ARP请求报文，待收到与该请求对应的ARP应答报文后，Gateway会添加或更新UserB对应的ARP表项。

4.动态ARP监测（DAI）

是利用绑定表来防御中间人攻击的。当设备收到ARP报文时，将此ARP报文对应的源IP、源MAC、VLAN以及接口信息和绑定表的信息进行比较，如果信息匹配，说明发送该ARP报文的用户是合法用户，允许此用户的ARP报文通过，否则就认为是攻击，丢弃该ARP报文。