專利名稱：一種防arp攻擊的方法、裝置和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)通信領(lǐng)域，尤其涉及一種防ARP攻擊的方法、裝置和 系統(tǒng)。
背景技術(shù)：
由于i也iiL解;f斤十辦i義(Address Resolution Protocol, ARP十辦i義)的 開放性和無(wú)認(rèn)證機(jī)制，導(dǎo)致ARP攻擊經(jīng)常發(fā)生。
ARP攻擊有針對(duì)網(wǎng)絡(luò)中主機(jī)的，也有針對(duì)網(wǎng)關(guān)的。ARP地址欺騙攻擊 一般針對(duì)個(gè)別或者一定范圍內(nèi)的主機(jī)進(jìn)行，危害相對(duì)較小。而針對(duì)網(wǎng)關(guān) 設(shè)備的ARP攻擊，由于其網(wǎng)絡(luò)位置的特殊性，將造成大面積用戶無(wú)法上 網(wǎng)。
目前在交換機(jī)上部署的防ARP攻擊的方法主要有
1) 端口學(xué)習(xí)々某體訪問(wèn)控制(Media Access Control ， MAC)地 址數(shù)量限制超過(guò)指定MAC地址時(shí)，可以選擇關(guān)閉端口、報(bào)警、丟棄流 量；
2) 動(dòng)'態(tài)主才幾分酉己寸辦i義(Dynamic Host Configuration Protocol , DHCP) snooping:阻止不可信端口的DHCP響應(yīng)才艮文，監(jiān)控可信端口的 DHCP報(bào)文或者以手工方式建立DHCP snooping綁定表，依據(jù)IP與MAC地址
的對(duì)應(yīng)關(guān)系可以執(zhí)行一 系列的防攻擊檢查；
3) 動(dòng)態(tài)ARP^r測(cè)(Dynamic ARP Inspection, DAI):以DHCP snooping綁定表為依據(jù)進(jìn)行ARP報(bào)文動(dòng)態(tài)檢查，也可以在端口限定ARP報(bào)
4文速率。
采用端口學(xué)習(xí)MAC地址數(shù)量限制的方案，因?yàn)樵谝呀?jīng)學(xué)習(xí)到的MAC 中，可能被攻擊MAC占據(jù)了很大部分，而合法的卻不能學(xué)習(xí)。如果超過(guò) 指定MAC地址時(shí)關(guān)閉端口 ，那么端口就不能進(jìn)行任何轉(zhuǎn)發(fā)。
發(fā)明人發(fā)現(xiàn)現(xiàn)有技術(shù)存在以下問(wèn)題由于安全部門對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)控 的需要，網(wǎng)吧等爿〉共上網(wǎng)場(chǎng)所難以應(yīng)用動(dòng)態(tài)分配網(wǎng)際協(xié)-漢(Internet Protocol, IP)地址的DHCP協(xié)議。并且DHCP snooping不能防雄卩偽裝合 法的MAC和IP的ARP攻擊方法。

發(fā)明內(nèi)容
本發(fā)明實(shí)施例的目的是4是供一種防ARP攻擊的方法、裝置和系統(tǒng)， 以防御針對(duì)網(wǎng)關(guān)設(shè)備的ARP攻擊。
本發(fā)明實(shí)施例的目的是通過(guò)以下技術(shù)方案實(shí)現(xiàn)的 一種防ARP攻擊的方法，包括
配置鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的網(wǎng)際協(xié)議IP地址和媒體 訪問(wèn)控制MAC地址綁定；
向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào)文，所述ARP請(qǐng)求報(bào)文包括主機(jī)IP地址和 MAC地址綁定；
接收所述網(wǎng)關(guān)根據(jù)所述ARP請(qǐng)求報(bào)文生成的ARP應(yīng)對(duì)艮文，并將所述 ARP應(yīng)答報(bào)文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)。
一種防地址解析協(xié)議ARP攻擊的鏈路層設(shè)備，包括存儲(chǔ)模塊、發(fā)送 模塊和接收模塊；其中，
所述存儲(chǔ)模塊，用于存儲(chǔ)鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的IP 地址和MAC地址綁定；所述發(fā)送模塊，用于向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào)文，所述ARP請(qǐng)求報(bào)文 包括主機(jī)IP地址和MAC地址綁定，并用于將所述接收才莫塊接收的ARP 應(yīng)斜艮文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)；
所述接收模塊，用于接收網(wǎng)關(guān)根據(jù)所述ARP請(qǐng)求報(bào)文生成的ARP應(yīng)答 報(bào)文。
一種防ARP攻擊的系統(tǒng)，包括網(wǎng)關(guān)；
所述網(wǎng)關(guān)，用于接收鏈路層設(shè)備發(fā)送的ARP請(qǐng)求報(bào)文，所述ARP請(qǐng) 求報(bào)文包括主機(jī)IP地址和MAC地址綁定，根據(jù)所述ARP請(qǐng)求報(bào)文生成 主機(jī)的ARP表項(xiàng)并發(fā)送ARP應(yīng)答報(bào)文；
所述鏈路層設(shè)備，用于存儲(chǔ)鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的IP 地址和MAC地址綁定，并向所述網(wǎng)關(guān)發(fā)送包括主機(jī)IP地址和MAC地址綁定 的ARP請(qǐng)求報(bào)文，接收所述網(wǎng)關(guān)發(fā)送的所述ARP應(yīng)答報(bào)文，并將所述ARP 應(yīng)答報(bào)文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)。
采用本發(fā)明實(shí)施例提供的技術(shù)方案，因?yàn)樵阪溌穼釉O(shè)備上配置了每 臺(tái)主機(jī)的IP地址和MAC地址綁定，可以代替主機(jī)向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào) 文，由于鏈路層設(shè)備上的IP地址和MAC地址綁定靜態(tài)配置，不會(huì)因ARP報(bào) 文改變，從而，可以在鏈路層設(shè)備上防御針對(duì)網(wǎng)關(guān)設(shè)備的ARP攻擊。


圖1為本發(fā)明實(shí)施例的應(yīng)用場(chǎng)景示意圖2為本發(fā)明 一 個(gè)實(shí)施例中 一種防ARP攻擊的方法流程圖3為本發(fā)明另 一個(gè)實(shí)施例中 一種防ARP攻擊的鏈路層設(shè)備框圖4為本發(fā)明又一個(gè)實(shí)施例中 一種防ARP攻擊的鏈路層設(shè)備框圖5為本發(fā)明另 一個(gè)實(shí)施例中防ARP攻擊的系統(tǒng)框圖。
具體實(shí)施例方式
圖1為本發(fā)明實(shí)施例的 一 個(gè)應(yīng)用場(chǎng)景示意圖。
本發(fā)明實(shí)施例的一個(gè)應(yīng)用場(chǎng)景中，主機(jī)通過(guò)接入交換機(jī)接入到網(wǎng) 關(guān)，再通過(guò)網(wǎng)關(guān)接入核心網(wǎng)或公網(wǎng)。由于安全部門需要對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)控
等原因，每臺(tái)主機(jī)都有固定的全網(wǎng)IP地址，因此，不需要DHCP服務(wù)器為 主機(jī)分配動(dòng)態(tài)IP地址。這里的接入交換機(jī)也可以是其他鏈路層設(shè)備，包 括交換機(jī)、網(wǎng)橋或者支持鏈路層模式的路由器。
圖2為本發(fā)明 一個(gè)實(shí)施例中 一種防ARP攻擊的方法流程圖。該方法包
括
202、配置鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的IP地址和MAC地址綁 定。例如，可以人工或應(yīng)用批處理、腳本程序，將鏈路層設(shè)備管理范圍 內(nèi)的每臺(tái)主機(jī)的IP地址和MAC地址綁定靜態(tài)配置在所屬的鏈路層設(shè)備 上。所述IP地址和MAC地址綁定是指主才幾所對(duì)應(yīng)的IP地址和該主機(jī)所對(duì) 應(yīng)的MAC地址的靜態(tài)配置的綁定關(guān)系。所述鏈路層設(shè)備，包括交換機(jī)、 網(wǎng)橋或者支持鏈路層模式的路由器。
204、鏈路層設(shè)備向網(wǎng)關(guān)發(fā)送包括主機(jī)IP地址和MAC地址綁定的ARP 請(qǐng)求報(bào)文。舉例來(lái)說(shuō)，4連路層設(shè)備按照配置的IP地址和MAC地址綁定， 代替主機(jī)向網(wǎng)關(guān)周期發(fā)送附帶主機(jī)MAC和IP的ARP請(qǐng)求4艮文，發(fā)送周期可 以包括10秒、20秒等較大間隔，但應(yīng)當(dāng)小于主機(jī)的ARP表項(xiàng)老化時(shí)間。
206、鏈路層設(shè)備接收網(wǎng)關(guān)根據(jù)ARP請(qǐng)求報(bào)文生成的ARP應(yīng)^艮文， 并將ARP應(yīng)敘艮文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)。網(wǎng)關(guān)收到鏈路層設(shè)備發(fā)送的ARP請(qǐng)求 報(bào)文，生成主機(jī)的ARP表項(xiàng)并發(fā)送ARP應(yīng)答報(bào)文，通過(guò)鏈路層設(shè)備轉(zhuǎn)發(fā)到 相應(yīng)主機(jī)，使主機(jī)生成網(wǎng)關(guān)的ARP表項(xiàng)。所述相應(yīng)主機(jī)，是指IP地址是網(wǎng)關(guān)發(fā)送的ARP應(yīng)斜艮文中的目的IP的主機(jī)。
因?yàn)殒溌穼釉O(shè)備代替主機(jī)向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào)文，因此通常主機(jī) 不會(huì)向網(wǎng)關(guān)發(fā)送ARP才艮文。當(dāng)主機(jī)向網(wǎng)關(guān)發(fā)送ARP沖艮文時(shí)，可以讓鏈路層 設(shè)備丟棄所有主機(jī)向所述網(wǎng)關(guān)發(fā)送的ARP報(bào)文。例如，鏈路層設(shè)備收到 ARP報(bào)文后，將所有要向網(wǎng)關(guān)發(fā)送的ARP報(bào)文丟棄，因此，所有主機(jī)發(fā)出 的ARP報(bào)文被屏蔽在用戶網(wǎng)絡(luò)內(nèi)。鏈路層設(shè)備管理范圍內(nèi)的主機(jī)之間的 ARP報(bào)文可以互通，但不能向網(wǎng)關(guān)發(fā)送，從而保證了網(wǎng)關(guān)不會(huì)受到任何 ARP攻擊。
在本發(fā)明實(shí)施例的一個(gè)具體應(yīng)用場(chǎng)景中，在鏈路層設(shè)備上聯(lián)端口配 置丟棄主機(jī)向網(wǎng)關(guān)發(fā)送的ARP報(bào)文的功能。所述上聯(lián)端口是指與網(wǎng)關(guān)相 連接的端口。鏈路層設(shè)備收到ARP報(bào)文后，完成MAC地址學(xué)習(xí)，將所有要 從配置ARP防攻擊功能的端口轉(zhuǎn)發(fā)出去的ARP報(bào)文丟棄，從而所有主機(jī)發(fā) 出的ARP報(bào)文被屏蔽在用戶網(wǎng)絡(luò)內(nèi)，鏈路層設(shè)備管理范圍內(nèi)的主機(jī)之間 的ARP報(bào)文可以互通，但不能從上聯(lián)端口發(fā)送出去。
圖3為本發(fā)明另一個(gè)實(shí)施例中一種防ARP攻擊的鏈路層設(shè)備框圖。所 述鏈路層設(shè)備，可以是交換機(jī)、網(wǎng)橋或者支持鏈路層模式的路由器。該 鏈路層設(shè)備包括存儲(chǔ)模塊302、發(fā)送模塊304和接收模塊308;其中，
存儲(chǔ)模塊302,用于存儲(chǔ)鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的IP地 址和MAC地址綁定。舉例來(lái)說(shuō)，存儲(chǔ)模塊302存儲(chǔ)的IP地址和MAC地址綁 定可以是人工或應(yīng)用批處理、腳本程序配制的。
發(fā)送模塊304，用于向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào)文，所述ARP請(qǐng)求報(bào)文包 括主機(jī)IP地址和MAC地址綁定，并用于將所述接收才莫塊308接收的ARP應(yīng) 答報(bào)文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)。舉例來(lái)說(shuō)，發(fā)送模塊304按照存儲(chǔ)模塊3G2存儲(chǔ) 的IP地址和MAC地址綁定，代替主機(jī)向網(wǎng)關(guān)周期發(fā)送附帶主機(jī)MAC和IP的ARP請(qǐng)求報(bào)文，發(fā)送周期可以包括10秒、20秒等較大間隔，但應(yīng)當(dāng)小于 主機(jī)的ARP表項(xiàng)老化時(shí)間。
接收模塊306,用于接收網(wǎng)關(guān)根據(jù)所述ARP請(qǐng)求報(bào)文生成的ARP應(yīng)答 報(bào)文。
圖4為本發(fā)明又一個(gè)實(shí)施例中 一種防ARP攻擊的鏈路層設(shè)備框圖。所 述鏈路層設(shè)備，可以是交換機(jī)、網(wǎng)橋或者支持鏈路層模式的路由器。該 鏈路層設(shè)備包括存儲(chǔ)模塊4G2、發(fā)送模塊404、防御模塊4Q6和接收模 塊408;本發(fā)明另一個(gè)實(shí)施例的鏈路層設(shè)備中，各個(gè)組成部分與圖3所示 實(shí)施例的鏈路層設(shè)備基本相同，功能也基本相同，區(qū)別在于，增加了防 御模塊406。其中，
防御模塊406，用于丟棄所有所述接收模塊408接收的主機(jī)向所述網(wǎng) 關(guān)發(fā)送的ARP報(bào)文。在本發(fā)明實(shí)施例的一個(gè)具體應(yīng)用場(chǎng)景中，防御模塊 406位于鏈路層設(shè)備的上聯(lián)端口 。
圖5為本發(fā)明另 一個(gè)實(shí)施例中防ARP攻擊的系統(tǒng)框圖。該系統(tǒng)包括 網(wǎng)關(guān)402;其中，
網(wǎng)關(guān)502，用于接收鏈路層設(shè)備404發(fā)送的包括主機(jī)IP地址和MAC地 址綁定的ARP請(qǐng)求報(bào)文，根據(jù)所述ARP請(qǐng)求報(bào)文生成主機(jī)的ARP表項(xiàng)并發(fā) 送ARP應(yīng)答報(bào)文。
鏈路層設(shè)備504,用于存儲(chǔ)鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的IP 地址和MAC地址綁定，并向所述網(wǎng)關(guān)402發(fā)送包括主才幾IP地址和MAC地址 綁定的ARP請(qǐng)求報(bào)文，接收所述網(wǎng)關(guān)402發(fā)送的所述ARP應(yīng)斜艮文，并將 所述ARP應(yīng)答報(bào)文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)。所述鏈路層設(shè)備504，包括交換機(jī)、
網(wǎng)橋或者支持鏈路層模式的路由器。
因?yàn)殒溌穼釉O(shè)備504代替主機(jī)向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào)文，因此通常主
9機(jī)不會(huì)向網(wǎng)關(guān)502發(fā)送ARP報(bào)文。當(dāng)主機(jī)向網(wǎng)關(guān)502發(fā)送ARP報(bào)文時(shí)，鏈路 層設(shè)備504還用于丟棄所有主機(jī)向網(wǎng)關(guān)502發(fā)送的ARP報(bào)文
采用本發(fā)明實(shí)施例提供的技術(shù)方案，因?yàn)樵阪溌穼釉O(shè)備上配置了每 臺(tái)主機(jī)的IP地址和MAC地址綁定，可以代替主機(jī)向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào) 文，由于鏈路層設(shè)備上的IP地址和MAC地址綁定靜態(tài)配置，不會(huì)因ARP報(bào) 文改變，從而，可以在鏈路層設(shè)備上防御針對(duì)網(wǎng)關(guān)設(shè)備的ARP攻擊。
本領(lǐng)域普通^支術(shù)人員可以理解實(shí)現(xiàn)上述實(shí)施例方法中的全部或部 分步驟是可以通過(guò)程序來(lái)指令相關(guān)的硬件完成，所述的程序可以存儲(chǔ)于 計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)中，所述存儲(chǔ)介質(zhì)可以是ROM/RAM,磁盤或光盤等。
以上所述，僅為本發(fā)明較佳的具體實(shí)施方式
，但本發(fā)明的保護(hù)范圍 并不局限于此，任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明揭露的技術(shù)范 圍內(nèi)，可輕易想到的變化或替換，都應(yīng)涵蓋在本發(fā)明的保護(hù)范圍之內(nèi)。 因此，本發(fā)明的保護(hù)范圍應(yīng)該以權(quán)利要求的保護(hù)范圍為準(zhǔn)。
權(quán)利要求
1、一種防地址解析協(xié)議ARP攻擊的方法，其特征在于，包括配置鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的網(wǎng)際協(xié)議IP地址和媒體訪問(wèn)控制MAC地址綁定；向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào)文，所述ARP請(qǐng)求報(bào)文包括主機(jī)IP地址和MAC地址綁定；接收所述網(wǎng)關(guān)根據(jù)所述ARP請(qǐng)求報(bào)文生成的ARP應(yīng)答報(bào)文，并將所述ARP應(yīng)答報(bào)文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)。
2、 根據(jù)權(quán)利要求1所述的方法，其特征在于，所述向網(wǎng)關(guān)發(fā)送ARP 請(qǐng)求報(bào)文，包括向網(wǎng)關(guān)周期發(fā)送所述ARP請(qǐng)求報(bào)文，發(fā)送所述ARP請(qǐng)求 報(bào)文的周期小于主機(jī)的ARP表項(xiàng)老化時(shí)間。
3、 根據(jù)權(quán)利要求1或2所述的方法，其特征在于，還包括，丟棄 所有主機(jī)向所述網(wǎng)關(guān)發(fā)送的ARP報(bào)文。
4、 根據(jù)權(quán)利要求1或2所述的方法，其特征在于，所述鏈路層設(shè) 備，包括交換纟幾；或 網(wǎng)橋；或支持鏈路層模式的路由器。
5、 一種防地址解析協(xié)議ARP攻擊的鏈路層設(shè)備，其特征在于，包 括存儲(chǔ)模塊、發(fā)送模塊和接收模塊；其中，所述存儲(chǔ)模塊，用于存儲(chǔ)鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的IP 地址和MAC地址綁定；所述發(fā)送模塊，用于向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào)文，所述ARP請(qǐng)求報(bào)文 包括主機(jī)IP地址和MAC地址綁定，并用于將所述接收模塊接收的ARP 應(yīng)答^艮文轉(zhuǎn)發(fā)到相應(yīng)主才幾；所述接收模塊，用于接收網(wǎng)關(guān)根據(jù)所述ARP請(qǐng)求報(bào)文生成的ARP應(yīng)答報(bào)文。
6、 根據(jù)權(quán)利要求5所述的鏈路層設(shè)備，其特征在于，還包括 防御模塊，用于丟棄所有所述接收模塊接收的主機(jī)向所述網(wǎng)關(guān)發(fā)送的ARP報(bào)文。
7、 一種防地址解析協(xié)議ARP攻擊的系統(tǒng)，其特征在于，包括網(wǎng)關(guān)； 所述網(wǎng)關(guān)，用于接收鏈路層設(shè)備發(fā)送的ARP請(qǐng)求報(bào)文，所述ARP請(qǐng)求報(bào)文包括主機(jī)IP地址和MAC地址綁定，4艮據(jù)所述ARP請(qǐng)求l艮文生成 主機(jī)的ARP表項(xiàng)并發(fā)送ARP應(yīng)答報(bào)文；所述鏈路層設(shè)備，用于存儲(chǔ)鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的IP 地址和MAC地址綁定，并向所述網(wǎng)關(guān)發(fā)送包括主才幾IP地址和MAC地址 綁定的ARP請(qǐng)求報(bào)文，接收所述網(wǎng)關(guān)發(fā)送的所述ARP應(yīng)答報(bào)文，并將所 述ARP應(yīng)答纟艮文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)。
8、 根據(jù)權(quán)利要求7所述的系統(tǒng)，其特征在于，所述鏈路層設(shè)備， 還用于丟棄所有主機(jī)向所述網(wǎng)關(guān)發(fā)送的ARP報(bào)文。
9、 根據(jù)權(quán)利要求7或8所述的系統(tǒng)，其特征在于，所述鏈路層設(shè) 備，包括交換一幾；或 網(wǎng)橋；或支持鏈路層模式的路由器。
全文摘要
本發(fā)明涉及網(wǎng)絡(luò)通信領(lǐng)域，尤其涉及一種防ARP攻擊的方法、裝置和系統(tǒng)。該方法包括配置鏈路層設(shè)備管理范圍內(nèi)的每臺(tái)主機(jī)的網(wǎng)際協(xié)議IP地址和媒體訪問(wèn)控制MAC地址綁定；向網(wǎng)關(guān)發(fā)送包括主機(jī)IP地址和MAC地址綁定的ARP請(qǐng)求報(bào)文；接收所述網(wǎng)關(guān)根據(jù)所述ARP請(qǐng)求報(bào)文生成的ARP應(yīng)答報(bào)文，并將所述ARP應(yīng)答報(bào)文轉(zhuǎn)發(fā)到相應(yīng)主機(jī)。采用本發(fā)明實(shí)施例提供的技術(shù)方案，因?yàn)閬G棄了所有主機(jī)向所述網(wǎng)關(guān)發(fā)送的ARP報(bào)文，并根據(jù)IP地址和MAC地址綁定向網(wǎng)關(guān)發(fā)送ARP請(qǐng)求報(bào)文，可以將所有主機(jī)發(fā)出的ARP報(bào)文被屏蔽在用戶網(wǎng)絡(luò)內(nèi)，從而，解決了在鏈路層設(shè)備上防御針對(duì)網(wǎng)關(guān)設(shè)備的ARP攻擊的問(wèn)題。
文檔編號(hào)H04L9/00GK101494536SQ20091010553
公開日2009年7月29日 申請(qǐng)日期2009年2月20日 優(yōu)先權(quán)日2009年2月20日
發(fā)明者趙永鵬 申請(qǐng)人:華為技術(shù)有限公司