ARP安全简介
定义
ARP(Address Resolution Protocol)安全是针对ARP攻击的一种安全特性,它通过一系列对ARP表项学习和ARP报文处理的限制、检查等措施来保证网络设备的安全性。ARP安全特性不仅能够防范针对ARP协议的攻击,还可以防范网段扫描攻击等基于ARP协议的攻击。
目的
ARP协议有简单、易用的优点,但是也因为其没有任何安全机制,容易被攻击者利用。在网络中,常见的ARP攻击方式主要包括:
-
ARP泛洪攻击,也叫拒绝服务攻击DoS(Denial of Service),主要存在这样两种场景:
-
设备处理ARP报文和维护ARP表项都需要消耗系统资源,同时为了满足ARP表项查询效率的要求,一般设备都会对ARP表项规模有规格限制。攻击者就利用这一点,通过伪造大量源IP地址变化的ARP报文,使得设备ARP表资源被无效的ARP条目耗尽,合法用户的ARP报文不能继续生成ARP条目,导致正常通信中断。
-
攻击者利用工具扫描本网段主机或者进行跨网段扫描时,会向设备发送大量目标IP地址不能解析的IP报文,导致设备触发大量ARP Miss消息,生成并下发大量临时ARP表项,并广播大量ARP请求报文以对目标IP地址进行解析,从而造成CPU(Central Processing Unit)负荷过重。
-
-
ARP欺骗攻击,是指攻击者通过发送伪造的ARP报文,恶意修改设备或网络内其他用户主机的ARP表项,造成用户或网络的报文通信异常。
ARP攻击行为存在以下危害:
- 会造成网络连接不稳定,引发用户通信中断。
- 利用ARP欺骗截取用户报文,进而非法获取游戏、网银、文件服务等系统的帐号和口令,造成被攻击者重大利益损失。
为了避免上述ARP攻击行为造成的各种危害,可以部署ARP安全特性。
配置思路
采用如下思路在SwitchA上进行配置:
- 使能动态ARP检测功能,使SwitchA对收到的ARP报文对应的源IP、源MAC、VLAN以及接口信息进行DHCP Snooping绑定表匹配检查,实现防止ARP中间人攻击。
- 使能动态ARP检测丢弃报文告警功能,使SwitchA开始统计丢弃的不匹配DHCP Snooping绑定表的ARP报文数量,并在丢弃数量超过告警阈值时能以告警的方式提醒管理员,这样可以使管理员根据告警信息以及报文丢弃计数来了解当前ARP中间人攻击的频率和范围。
- 配置DHCP Snooping功能,并配置静态绑定表,使动态ARP检测功能生效。
拓扑图
S1基本配置
<Huawei>system-view
[Huawei]sysname S1
[S1]undo info-center enable
创建VLAN,将接口加入到VLAN中
# 创建VLAN10,并将接口GE0/0/1、GE0/0/2、GE0/0/3、GE0/0/4加入VLAN10中。
[S1]interface GigabitEthernet 0/0/1
[S1-GigabitEthernet0/0/1]port link-type access
[S1-GigabitEthernet0/0/1]port default vlan 10
[S1-GigabitEthernet0/0/1]q
[S1]interface GigabitEthernet 0/0/2
[S1-GigabitEthernet0/0/2]port link-type access
[S1-GigabitEthernet0/0/2]port default vlan 10
[S1-GigabitEthernet0/0/2]q
[S1]interface GigabitEthernet 0/0/3
[S1-GigabitEthernet0/0/3]port link-type access
[S1-GigabitEthernet0/0/3]port default vlan 10
[S1-GigabitEthernet0/0/3]q
[S1]interface GigabitEthernet 0/0/4
[S1-GigabitEthernet0/0/4]port link-type access
[S1-GigabitEthernet0/0/4]port default vlan 10
[S1-GigabitEthernet0/0/4]q
使能动态ARP检测功能和动态ARP检测丢弃报文告警功能
# 在接口GE0/0/1、GE0/0/2、GE0/0/3下使能动态ARP检测功能和动态ARP检测丢弃报文告警功能。以GE0/0/1为例,GE0/0/2、GE0/0/3的配置与GE0/0/1接口类似
[S1]interface GigabitEthernet 0/0/1
[S1-GigabitEthernet0/0/1]arp anti-attack check user-bind enable
[S1-GigabitEthernet0/0/1]arp anti-attack check user-bind alarm enable
[S1-GigabitEthernet0/0/1]q
[S1]interface GigabitEthernet 0/0/2
[S1-GigabitEthernet0/0/2]arp anti-attack check user-bind enable
[S1-GigabitEthernet0/0/2]arp anti-attack check user-bind alarm enable
[S1-GigabitEthernet0/0/2]q
[S1]interface GigabitEthernet 0/0/3
[S1-GigabitEthernet0/0/3]arp anti-attack check user-bind enable
[S1-GigabitEthernet0/0/3]arp anti-attack check user-bind alarm enable
[S1-GigabitEthernet0/0/3]q
配置DHCP Snooping功能
# 全局使能DHCP Snooping功能。
[S1]dhcp enable
[S1]dhcp snooping enable
在VLAN10内使能DHCP Snooping功能。
[S1]vlan 10
[S1-vlan10]dhcp snooping enable
[S1-vlan10]q
配置接口GE0/0/4为DHCP Snooping信任接口。
[S1]interface GigabitEthernet 0/0/4
[S1-GigabitEthernet0/0/4]dhcp snooping trusted
[S1-GigabitEthernet0/0/4]q
配置静态绑定表。
[S1]user-bind static ip-address 10.0.0.2 mac-address 0001-0001-0001 interface Gi
gabitEthernet 0/0/3 vlan 10
验证结果查看各接口下动态ARP检测的配置信息
[S1]display arp anti-attack configuration check user-bind interface GigabitEther
net 0/0/1
arp anti-attack check user-bind enable
arp anti-attack check user-bind alarm enable
- 验证配置结果
# 执行命令display arp anti-attack configuration check user-bind interface,查看各接口下动态ARP检测的配置信息