简单的交换安全之ARP攻击

首先，ARP协议的工作原理是在广播域中利用广播包通过目标设备的IP地址来查询目标设备的物理地址也就是MAC地址。形象一点说就是在同一个屋子里发送者问接收者“你在哪里”，接受者回答“我在这里”，以此确定接收者的位置以便建立连接后续通信。

攻击

ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗。形象一点说就是在这个屋子里攻击者大声喧哗阻碍了发送者发出的声音传递，然后假装自己是接收者去接受发送者的消息，再假装发送者去给接收者提供消息，这就完成了中间人攻击。而能够完成中间人攻击，想要实现中断网络之类的简单攻击就轻而易举了。

当然，APR攻击只能在同一个广播域内实现，所以它主要存在于局域网中，局域网若有一台计算机感染APR木马，则该局域网内所有计算机的通信信息都有可能会泄漏，也有可能被伪造数据造成严重的后果，并且出现通讯故障。

防御

DAI （动态ARP检查）
它基于DHCP Snooping 工作，DHCP Snooping的监听绑定表包括IP地址与MAC地址的绑定信息，并将其于特定的交换机端口相关联，DAI可以检查所有非信任端口的ARP请求和应答，确保应答来自真正的MAC所有者。交换机通过检查端口记录的DHCP绑定信息和ARP应答的IP地址判断其是否是真正的MAC所有者，不合法的ARP包将被拒绝转发。

关于VLAN：
同一VLAN内的接口，可以开启DAI也可以关闭，如果ARP包来自可信任接口，该包不需要任何检查；如果来自不可信任端口，就需要验证绑定信息是否合法。

对于没有使用DHCP的服务器，可以采用静态添加DHCP绑定表或者ARP access-list的方式来实现。

还可以利用DAI设定端口ARP请求报文频率的阈值，一旦超过阈值，立刻关闭该端口。