从网吧ARP欺骗看局域网的安全管理

　　（2）建立MAC地址数据库：

　　把网吧内所有网卡的MAC地址记录下来，每个MAC和IP、地理位置统统装入数据库，以便及时查询备案。可以以EXCEL表格的形式，也可是保存成数据库文件。

　　（3）禁止ARP动态更新：

　　为了防止网关被随意攻击，我们还需要在网关机器上关闭ARP动态刷新功能，这样的话，即使非法用户使用ARP欺骗攻击网关的话，对网关是无效的，从而确保主机安全。在网关上建立静态IP/MAC捆绑的方法如下。

　　第一步：建立/etc/ethers文件，其中包含正确的IP/MAC对应关系，格式为192.168.2.32 08:00:4E:B0:24:47。

　　第二步：然后在/etc/rc.d/rc.local最后添加arp -f生效即可。

　　上面这个禁止ARP动态更新的方法是针对Linux系统而言的。

　　（4）网关监测：

　　在网关上面使用TCPDUMP程序截取每个ARP程序包，弄一个脚本分析软件分析这些ARP协议。ARP欺骗攻击的包一般有以下两个特点，满足之一就可以视为攻击包报警，第一是以太网数据包头的源地址、目标地址和ARP数据包的协议地址不匹配。第二是ARP数据包的发送和目标地址不在自己网络网卡MAC数据库内，或者与自己网络MAC数据库MAC/IP不匹配。我们也可以通过脚本分析软件实现自动报警功能，最后查这些数据包（以太网数据包）的源地址就大致知道那台机器在发起攻击了。

　　三，总结：

　　ARP欺骗是目前网络管理，特别是局域网管理中最让人头疼的攻击，他的攻击技术含量低，随便一个人都可以通过攻击软件来完成ARP欺骗攻击。同时防范ARP欺骗也没有什么特别有效的方法。目前只能通过被动的亡羊补牢形式的措施了。本文介绍的两个方法都是针对ARP欺骗防范的，希望对读者有所帮助。当然很多网络管理软件开发公司都推出了自己的防范ARP欺骗的产品，这些产品良莠不齐，大家选择时更要仔细。