ARP协议详解：概念、工作原理与ARP欺骗防护

ARP协议详解：概念、工作原理与ARP欺骗防护

引用

CSDN

1.

https://blog.csdn.net/Dreaming_TI/article/details/141756079

ARP协议是局域网通信中的基础协议，用于将IP地址转换为物理地址（即MAC地址）。本文将从ARP协议的基本概念、工作原理、ARP缓存查看方法以及ARP欺骗的原理和防护措施等方面进行详细讲解。

我们知道，在局域网通信中，一台主机想向另一台主机发送数据，自然需要得到目标网络以及目标主机，但发送方只知道目标IP，而不知道对方的MAC地址，自然就无法封装MAC帧；此时就有一个概念：在同一个网段，通过目标IP获取目标MAC地址——ARP协议（Address Resolution Protocol 地址解析协议）

解释ARP的工作过程前，我们先看ARP数据报的格式

以太网和ARP报文结构的说明：

• 源 MAC 地址和目的 MAC 地址在以太网首部和 ARP 请求中各出现一次。在链路层为以太网的情况下，这些字段在 ARP 请求中可能显得多余，但对于其他类型的链路层网络，它们可能是必要的。
• 硬件类型：指示链路层网络类型。例如，1 表示以太网。
• 协议类型：指示要转换的地址类型。例如，0x0800 表示 IP 地址。
• 硬件地址长度：对于以太网地址，长度为 6 字节。
• 协议地址长度：对于 IP 地址，长度为 4 字节。

以上是固定的字段定义。接下来是 ARP 报文中的具体信息：

• 发送端以太网地址：即发送方的 MAC 地址。
• 发送端 IP 地址：即发送方的 IP 地址。
• 目标以太网地址：目标的 MAC 地址，通常未知时设为全 1，即 ff:ff:ff:ff:ff:ff 。
• 目标 IP 地址：即目标的 IP 地址。

关于 op 字段（操作码）的说明：

• op 字段指示 ARP 报文的类型：
• op = 1：ARP 请求。
• op = 2：ARP 应答。
• 任何主机在网络中可能会向目标主机发起 ARP 请求，并在之后收到对应的 ARP 应答。
• 同样，任何主机也可能会接收到来自其他主机的 ARP 请求。

ARP协议概念

ARP（Address Resolution Protocol，地址解析协议）是一种用于在局域网内通过IP地址来寻找对应的MAC地址的协议。其主要作用是在网络中将IP地址转换为物理地址（即MAC地址），从而使得数据包可以在以太网或其他局域网介质中正确传输。

ARP协议工作过程

1. 首先是发送方HA向目标HD发送数据：

• 所有主机都会收到并处理（目的MAC地址为FF…FF，未知）：

2. 随后HD会进行应答（一对一传输应答）：

• 只有HA（接收方）会收到并处理该应答（目的MAC地址已知）：

1. 从上面arp的工作流程来看，arp会进行一次请求和应答，是不是每次发送数据都得进行请求和应答？

• 不是，arp请求成功后，请求方会将[IP:MAC地址]的映射关系暂时保存

2. 是否只在目标端的子网中才进行arp，从发送端到目标端的路径中会不会进行？

• 会进行，如上面的两图，arp的过程在整个局域网中随时可能发生。

通过指令 获取当前主机所处局域网的所有IP和MAC地址

在Windows/linux上，可以直接使用 arp -a 命令来查看本地ARP缓存中的IP和MAC地址。这会显示与当前主机通信过的其他设备的IP和MAC地址。

arp -a
Interface: 192.168.1.2 --- 0x3
  Internet Address      Physical Address      Type
  192.168.1.1           00-14-22-01-23-45     dynamic
  192.168.1.3           00-14-22-67-89-ab     dynamic
  192.168.1.4           00-14-22-cd-ef-12     dynamic

ARP欺骗

ARP 欺骗（ARP Spoofing）是一种网络攻击方法，其中攻击者向局域网中的设备发送伪造的 ARP 消息，从而使目标设备将攻击者的 MAC 地址与目标 IP 地址进行关联。

过程

下面演示一种ARP欺骗的过程：

正常开始通信时，过程如下：

如果有一台主机M连续向路由和主机发送大量的请求/应答，会导致主机/路由更新ARP缓存，将目标MAC地址改为主机M

经过这个过程，这台主机M就已经成为了一个 中间人

危害

1. 流量劫持：攻击者可以拦截和查看原本发送给目标设备的数据包。
2. 中间人攻击：攻击者可以修改或伪造数据包，从而干扰通信。
3. 网络瘫痪：通过发送大量伪造的 ARP 请求，可以使网络中的设备无法正常通信。

防护措施

1. 启用静态 ARP 表：在网络设备上配置静态 ARP 表项，防止 ARP 表被篡改。
2. 使用 ARP 监控工具：使用工具检测和警报 ARP 欺骗活动。
3. 网络分段和 VLAN：通过网络分段和 VLAN 限制 ARP 欺骗的影响范围。
4. 启用动态 ARP 检测：在支持的交换机上启用动态 ARP 检测功能。