arp 攻击与防御(动态 arp 检测)

《arp 攻击与防御(动态 arp 检测)》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、ARP攻击与防御（动态ARP检测）【实验名称】ARP攻击与防御（动态ARP检测）【实验目的】使用交换机的DAI（动态ARP检测）功能增强网络安全性【背景描述】某企业的网络管理员发现最近经常有员工抱怨无法访问互联网，经过故障排查后，发现客户端PC上缓存的网关的ARP绑定条目是错误的，从此现象可以判断出网络中可能出现了ARP欺骗攻击，导致客户端PC不能获取正确的ARP条目，以至不能够访问外部网络。如果通过交换机的ARP检查功能解决此问题，需要在每个接入端口上配置地址绑定，工作量过大，因此考虑采用DAI功能解决ARP欺骗攻击的

2、问题。【需求分析】ARP欺骗攻击是目前内部网络中出现最频繁的一种攻击。对于这种攻击，需要检查网络中ARP报文的合法性。交换机的DAI功能可以满足这个要求，防止ARP欺骗攻击。【实验拓扑】【实验设备】二层交换机1台（支持DHCP监听与DAI）三层交换机1台（支持DHCP监听与DAI）PC机3台（其中1台需安装DHCP服务器，另1台安装ARP欺骗攻击工具WinArpSpoofer（测试用））【预备知识】交换机转发原理交换机基本配置DHCP监听原理DAI原理ARP欺骗原理【实验原理】交换机的DAI功能可以检查端口收到的ARP报

3、文的合法性，并可以丢弃非法的ARP报文，防止ARP欺骗攻击。【实验步骤】第一步：配置DHCP服务器将一台PC配置为DHCP服务器，可以使用WindowsServer配置DHCP服务器，或者使用第三方DHCP服务器软件。DHCP服务器中的地址池为172.16.1.0/24。第二步：SW2基本配置及DHCP监听配置（接入层）Switch#configureSwitch(config)#hostnameSW2SW2(config)#vlan2SW2(config-vlan)#exitSW2(config)#interfacer

4、angefastEthernet0/1-2SW2(config-if-range)#switchportaccessvlan2SW2(config-if-range)#exitSW2(config)#interfacefastEthernet0/24SW2(config-if)#switchportmodetrunkSW2(config-if)#exitSW2(config)#ipdhcpsnoopingSW2(config)#interfacefastEthernet0/24SW2(config-if)#ipdhcps

5、noopingtrustSW2(config-if)#endSW2#第三步：SW1基本配置、DHCP监听配置及DHCPRelay配置（分布层）Switch#configureSwitch(config)#hostnameSW1SW1(config)#interfacefastEthernet0/24SW1(config-if)#switchportmodetrunkSW1(config-if)#exitSW1(config)#vlan2SW1(config-vlan)#exitSW1(config)#interfacev

6、lan2SW1(config-if)#ipaddress172.16.1.1255.255.255.0SW1(config-if)#exitSW1(config)#vlan100SW1(config-vlan)#exitSW1(config)#interfacevlan100SW1(config-if)#ipaddress10.1.1.2255.255.255.0SW1(config-if)#exitSW1(config)#interfacefastEthernet0/1SW1(config-if)#switchport

7、accessvlan100SW1(config-if)#exitSW1(config)#ipdhcpsnooping！启用DHCPsnooping功能SW1(config)#interfacefastEthernet0/1SW1(config-if)#ipdhcpsnoopingtrust！配置F0/1端口为trust端口SW1(config-if)#exitSW1(config)#interfacefastEthernet0/24SW1(config-if)#ipdhcpsnoopingtrust！配置F0/24端口为

8、trust端口SW1(config-if)#exitSW1(config)#servicedhcpSW1(config)#iphelper-address10.1.1.1！配置DHCP中继，指明DHCP服务器地址SW1(config)#endSW1#第四步：验证测试确保DHCP服务器可以正常工作。将客户端PC1和PC