资源描述：
《用vlan优化网络轻松应对arp病毒》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。
1、用VLAN优化网络轻松应对ARP病毒～教育资源库 近日,某公务大厦宽带网络出现频繁中断现象,开始是几台电脑,接着不断蔓延,最后整个局域网几乎完全瘫痪,严重影响员工办公.该如何应对这不断入侵的ARP病毒呢? 近期ARP病毒肆虐,几乎骚扰了所有的局域网,所到之处,网络故障频繁,网速突然变慢,而且网络连接时断时续,轻则影响正常的工作秩序,重则可导致整个局域网络瘫痪,甚至造成无法弥补的损失.因而,如何采取行之有效的措施防范ARP病毒,已成为近期网络安全工作的重中之重. 这里笔者以某公务大厦的局域网改造情况为例进行分析,介绍如何采用VLAN技术对局域网进
2、行优化改造,从而有效防范ARP病毒的攻击. 网络现状 该公务大厦局域网络具体现状为:公务大厦共分9层,大厦宽带网络通过100M光纤上联到网通公司招商局模块为S6502交换机.在公务大厦一楼中心机房通过光电收发器将光信号转换成电信号后,通过百光网线上联至H3C的防火墙外网口.防火墙内网口经过一台楼宇交换机转接至各楼层交换机,每楼层各有一台清华比威的楼宇交换机作为相应楼层办公室的宽带接入使用.防火墙外网口配置网通公司分配的专线IP地址,内网口配置私网IP地址,防火墙作为NAT设备使用,配置两个外网口和四个内网口.实际网络环境中使用了一个外网口(AC地
3、址能查到发病的终端计算机,并及时对发病终端进行处理,但是,由于终端太多,而且都在同一个VLAN内,一旦有一台终端感染ARP病毒,就会迅速波及到整个网络,给彻底清除ARP带来非常大的困难. 升级改造网络 为彻底解决这一问题,网络管理员决定对网络进行升级改造.由于该公务大厦楼层多且终端多,网络布线复杂,网管认为应该在保证安全性、保密性的基础上,尽量减少网络物理上的改动.经过分析研究,确定启用H3C防火墙的LAN0~LAN3内网口,在防火墙下联处增加一台园区汇聚交换机,做好VLAN划分,分别由不同的VLAN与防火墙的内网口相连,各内网口配置不同的IP地
4、址段,保证每个楼层独立分配一个单独的IP地址段;园区汇聚交换机至各楼层的楼宇交换机的互联端口启用VLAN划分(即采用VLAN技术将各楼层之间的终端机进行分离),保证各楼层之间的VLAN相对独立,减少ARP病毒带来的连锁反应,避免网络风暴的发生. 具体改造方案 根据现有网络的布局和各楼层之间终端分布数量情况,网络管理员制定出一个基于楼层进行IP地址划分的具体方案,把IP地址段配置在H3C防火墙的内网口上(一个端口可以配置多个IP地址段),同时在H3C防火墙上定义NAT转换策略,保证内网IP的及时转换,保证各楼层之间的终端对应的IP地址段相对独立,不
5、会出现相互影响的情况.改造后的网络拓扑结构如图2所示. 经改造后,有效地制止了ARP病毒的大规模爆发,偶尔有某些电脑感染了ARP病毒,也能很快找到中毒电脑,及时阻断.本文主要以该公务大厦的优化改造方案为例进行剖析,介绍如何采用VLAN技术实现各楼层之间的相对隔离,从而减少ARP广播风暴的发生,轻松应对ARP病毒的攻击,增强网络的稳定性,提高网络运行效率. 图１改造前的网络拓扑结构图 图２改造后的网络拓扑结构图 改造后的VLAN划分及IP地址分配表 揭开黑金ARP病毒面纱 黑金ARP病毒欺骗攻击目的和以往的单纯ARP欺骗病毒完全不同,明显表
6、露出其木马化的本质.以黑金ARP病毒Backdoor.Win32.ARP.g为例,该病毒的特别之处就是在原有ARP欺骗基础上,捆绑正常的网络分析软件WinPcap,试图欺骗传统杀毒软件,利用WinPcap提供的网络分析功能,劫持网络内所有HTTP通信,并且强行在HTTP数据包中插入带有病毒程序的网页链接,使得局域网内任意一个用户在访问正常网页时,都会自动下载木马病毒.也就是说,只要局域网内有一台计算机感染了该木马,局域网内所有的计算机就都有可能感染上木马病毒.可见,黑金ARP对局域网危害极大,正可谓是一机中毒,全网遇难.理论上如果网内只有一台计算机中
7、了黑金ARP,那么局域网虽受ARP欺骗影响,但仍尚可维持通信.但是实际上前述的假设在现实中是不成立的,因为只要有一台计算机中毒,局域网内很快就会发展为多台计算机中毒,而多台计算机同时发起ARP欺骗的直接后果就是网络内计算机互相欺骗,局域网全网通信瘫痪. 清除黑金ARP病毒,12下一页友情提醒：，特别！首先要做的就是要彻底清除其毒源.换句话说,如果将病毒源连根拔起清除彻底,局域网自然而然就会恢复正常.如果机器中了黑金ARP病毒,利用一般的杀毒软件解决此问题,基本上收效甚微,扫描整个系统估计也没有一个病毒报告出来.那到底该如何对付黑金ARP病毒呢?
8、其实事情是很简单的,所有的黑金ARP病毒都必然具备的一个行为特点就是乱发ARP欺骗数据包,因此采用行为分析技
