专家谈经验：面对ARP到底如何选择路由器
石家庄网络王网吧是一台有着240余台电脑的网吧，这个规模在石家庄是数一数二。面对近期肆虐网络的ARP攻击，来看看这家网吧是如何解决这一难题的。
ARP的前世今生
在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻?br>
ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”。帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送数据前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的。
当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。
切换到病毒主机上网后，如果用户已经登陆了游戏服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录游戏服务器，这样病毒主机就可以盗号了。
由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。
不久前，位于石家庄的网络王网吧碰到了难题，由于部分电脑感染了病毒，在整个局域网内遭遇了ARP攻击。“开始的时候是每天掉线一次，后来发展到一天掉线好几次。很多来网吧上网的人都很着急，毕竟对于以上网为主打服务的网吧来说，如果上网不稳定拿什么来吸引顾客呢。” 网络王网吧的技术经理杨经理向记者表示。
“最后我们经过多款产品的对比，最后选中了侠诺科技的FVR9416s宽带路由器。现在网吧内的ARP攻击已经能被解除了。”网络王网吧的技术经理赵磊告诉记者。
发现ARP攻击
谈到发现ARP攻击的过程，赵磊认为，在路由器的“系统历史记录”中可以看到大量如下的信息：
MAC Chged 10.128.103.124
MAC Old 00:01:6c:36:d1:7f
MAC New 00:05:5d:60:c7:18
这个消息代表了用户的MAC地址发生了变化，在ARP欺骗木马开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址（即所有信息的MAC New地址都一致为病毒主机的MAC地址），同时在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。
如果是在路由器的“系统历史记录”中看到大量MAC Old地址都一致，则说明局域网内曾经出现过ARP欺骗（ARP欺骗的木马程序停止运行时，主机在路由器上恢复其真实的MAC地址）。
查找病毒主机
在上面我们已经知道了使用ARP欺骗木马的主机的MAC地址，可以使用NBTSCAN工具来快速查找它。
NBTSCAN可以取到PC的真实IP地址和MAC地址，如果有”传奇木马”在做怪，可以找到装有木马的PC的IP/和MAC地址。
命令：“nbtscan -r 192.168.16.0/24”（搜索整个192.168.16.0/24网段, 即192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输出结果第一列是IP地址，最后一列是MAC地址。
NBTSCAN的使用范例：
假设查找一台MAC地址为“000d870d585f”的病毒主机。
a.将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:/下。
b.在Windows开始&运行&打开，输入cmd（windows98输入“command”），在出现的DOS窗口中输入：C:/nbtscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。
c.通过查询IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。
专家谈经验：ARP攻击解决思路
1、不要把你的网络安全信任关系建立在IP基础上或MAC基础上，理想的关系应该建立在IP+MAC基础上。
2、设置静态的MAC-->IP对应表，不要让主机刷新你设定好的转换表。
3、除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。
4、使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。
5、使用"proxy"代理IP的传输。
6、使用硬件屏蔽主机。设置好你的路由，确保IP地址能到达合法的路径。（静态配置路由ARP条目），注意，使用交换集线器和网桥无法阻止ARP欺骗。
7、管理员定期用响应的IP包中获得一个rarp请求，然后检查ARP响应的真实性。
8、管理员定期轮询，检查主机上的ARP缓存。
9、使用防火墙连续监控网络。注意有使用SNMP的情况下，ARP的欺骗有可能导致陷阱包丢失。
防止arp攻击解决办法
这里需要两个软件，一个是监控mac的软件，一个是设置虚拟网关的软件：
1. arp的监控软件的主程序为GetAllMac文件夹里的getallmac.exe文件，可以将它放在用于监控的机器上，不过这个比较占资源，特别是CPU占用的特别厉害！但是很有效，可以第一时间判断出哪台机器的mac地址会和网关的mac发生冲突！所以才推荐使用！
2. 设置虚拟网关的软件在使用之前请先将你的本地连接上的网关随便设成一个不存在的IP地址，比如说192。168。0。161，
然后运行arp.reg，这个是在启动项里添加arp.exe用的，也就是说每次开机调用真实的网关地址，那个本地连接的只是个假地址而已，呵呵，骗人用的！不信的话可以在dos里输上ipconfig/all查一下，看网关是不是你的真实网关地址！
注意：本软件只对网关是192。168。0。1的网络有效，网关是其它的话请反编译本软件，然后自行修改网关地址，也可加群：3896907，直接找我就行了！
3. 捆绑IP。
我想通过这三个步骤的设置，你一定不会再为arp问题而苦恼。
注意：默认情况下，是把arp.exe放到e:\这个位置，也就是E盘的根目录下！当然你也可以把它放到其它地方，但是如果要把arp.exe文件放到其它地方的话，请注意修改arp.reg里的文件路径。
| 欢迎访问最专业的网吧论坛,无盘论坛,网吧经营,网咖管理,网吧专业论坛https://bbs.txwb.com |
关注天下网吧微信,了解网吧网咖经营管理，安装维护:
本文来源：《中小企业IT采购》第33期 作者：佚名
天下网吧·网吧天下
闽公网安备35010202000238号