linux命令Arpwatch 详解：监控局域网LAN上的 ARP流量

目录

一、概述

1.1 定义和作用

1.2 ARP介绍

二、安装

2.1 在Debian或者Ubuntu中安装

2.2 在Fedora或者Centos中安装

三、使用

3.1启动服务

3.2基本语法

3.3帮助信息

四、示例 

4.1监听特定的网络端口

4.2监听特定接口并记录在文件中

4.3记录新增设备的ARP记录

4.4 记录修改IP或者MAC地址的ARP记录

五、总结

5.1 功能和特点

5.2 注意事项

---

一、概述

1.1 定义和作用

        Arpwatch是用一款于监控以太网活动的的命令，它能够监听局域网中ARP数据包；        

        Arpwatch 通过监听网络上的 ARP 请求和响应来工作，并记录下何时和哪个 IP 地址关联到了哪个 MAC 地址。这使得网络管理员能够追踪 IP 地址的变动，比如 IP 地址冲突、IP 地址欺骗（也称为 ARP 欺骗）或者未经授权的 DHCP 服务器活动等。

1.2 ARP介绍

        ARP是一个网络层协议，通常在局域网中将网络层的地址解析成链路层的地址以便数据链路层能够正确地发送数据包。在IPv4网络中，表现则是将IP地址解析成MAC地址。

二、安装

        Arpwatch这个命令在一般的Linux发行版中不会预装，需要按需自行下载安装。

2.1 在Debian或者Ubuntu中安装

        Debian或者Ubuntu中可以使用下面命令安装
       sudo apt-get install arpwatch

2.2 在Fedora或者Centos中安装

        Fedora或者Centos中使用下面命令安装

        sudo yum install arpwatch

三、使用

3.1启动服务

        arpwauch服务启动命令如下：

        systemctl start arpwatch

        启动后使用下面命令查看arpwatch是否启动：

        systemctl status arpwatch

        看到下图中active情况为active(running)则证明服务启动成功。

3.2基本语法

        基本语法为

        arpwatch [options]

       其中 options代表arpwatch的选项，选择即可。

3.3帮助信息

        使用arpwatch --help就可以显示帮助信息，不过不同于一般命令，它的帮助信息比较简略，下图就是其返回的结果：

        下面是这些选项的说明：

-dN	d是进入调试模式；N是禁止报告
-f datafile	设置arp数据包的记录文件，不填写的话默认为/var/log/messages
-i interface	指定网络接口，这个必须填
-n net	指定附加的本地网络，可以指定特定网段，例如192.168.1.0/24
-r file	从特定的文件去读取arp 记录，一般是tcpdump的抓包文件和wireshark的抓包文件
-u username	指定用户名和用户组
-e username	指定发送告警邮件的用户，如果不指定默认会发送到root账户
-s username	指定用户名为返回地址，如果不指定该用户就是root

四、示例 

4.1监听特定的网络端口

        使用如下命令：

        arpwatch -i 网络接口名
       就可以监听特定网络接口，下图是监听本地ens32网络接口的命令。

       

        执行该命令后arpwatch会一直监听该接口并将将结果输出到/var/log/messages的默认文件中。

4.2监听特定接口并记录在文件中

        使用命令

        arpwatch -i 网络接口名 -f 自己想要指定的文件中

        即可在该文件中查看arpwatch监测网络接口的记录。其中指定文件需要提前存在才可以顺利记录。

        下图是在/var/log/arpwatch.log中监测本地ens32的记录。

      

        如下图为记录的一部分：

4.3记录新增设备的ARP记录

        如果没有指定特定文件记录arpwatch监测日志，则需要在检测后通过

        tail -f /var/log/messages

        这个命令查看记录，如果查看到下图所示的new station记录，证明本地机器ARP缓存表新增IP和MAC地址的对应关系。

4.4 记录修改IP或者MAC地址的ARP记录

        通过如下命令：

        tail -f /var/log/messages

        这个命令查看arpwatch记录，查看到下图所示的change station证明某些IP和MAC地址对应关系改变了，和ARP缓存表中的对应关系不一致。

五、总结

5.1 功能和特点

        Arpwatch 的主要功能和特点：

        （1）监控 ARP 流量：自动检测 ARP 请求和响应，并跟踪哪些 IP 地址与哪些 MAC 地址相关联。

        （2）警报机制：当检测到 IP 地址或 MAC 地址的变化时，可以通过电子邮件、系统日志或其他方式发送警报。

        （3）日志记录：将 ARP 活动的详细记录保存在日志文件中，供日后分析。

        （4）防止 ARP 欺骗：通过监控和警报功能，帮助识别并防止 ARP 欺骗攻击。

        （5）网络审计：为网络审计提供有用的数据，帮助管理员了解网络中的设备是如何连接的。

        

5.2注意事项

        （1）arpwatch需要在root权限下才可以运行。

        （2）arpwatch需要先启动服务，命令才可以使用。

---

文章正下方可以看到我的联系方式：鼠标“点击” 下面的 “威迪斯特-就是video system 微信名片”字样，就会出现我的二维码，欢迎沟通探讨。

---