ARP&RARP地址解析协议

 一、什么是ARP协议
　　地址解析协议(Address Resolution Protocol,ARP，通过遵循该协议，只要我们知道了某台机器的IP地址，即可以知道其物理地址。在TCP/IP网络环境下，每个主机都分配了一个32位的IP地址，这种互联网地址是在网际范围标识主机的一种逻辑地址。为了让报文在物理网路上传送，必须知道对方目的主机的物理地址。这样就存在把IP地址变换成物理地址的地址转换问题。以以太网环境为例，为了正确地向目的主机传送报文，必须把目的主机的32位IP地址转换成为48位以太网的地址。这就需要在互连层有一组服务将IP地址转换为相应物理地址，这组协议就是ARP协议。
二、ARP协议的工作原理
　　在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如附表所示。
　ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。
　　ARP攻击主要是存在于局域网网络中，局域网中若有一个人感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。
　RARP的工作原理：
　　1. 发送主机发送一个本地的RARP广播，在此广播包中，声明自己的MAC地址并且请求任何收到此请求的RARP服务器分配一个IP地址；
　　2. 本地网段上的RARP服务器收到此请求后，检查其RARP列表，查找该MAC地址对应的IP地址；
　　3. 如果存在，RARP服务器就给源主机发送一个响应数据包并将此IP地址提供给对方主机使用；
　　4. 如果不存在，RARP服务器对此不做任何的响应；
　　5. 源主机收到从RARP服务器的响应信息，就利用得到的IP地址进行通讯；如果一直没有收到RARP服务器的响应信息，表示初始化失败。
　　6.如果在第1-3中被ARP病毒攻击，则服务器做出的反映就会被占用，源主机同样得不到RARP服务器的响应信息，此时并不是服务器没有响应而是服务器返回的源主机的IP被占用。
  ARP的数据结构

　　[4]ARP协议的数据结构：
　　typedefstructarphdr
　　{
　　unsignedshortarp_hrd;/*硬件类型*/
　　unsignedshortarp_pro;/*协议类型*/
　　unsignedchararp_hln;/*硬件地址长度*/
　　unsignedchararp_pln;/*协议地址长度*/
　　unsignedshortarp_op;/*ARP操作类型*/unsignedchararp_sha[6];/*发送者的硬件地址*/
　　unsignedlongarp_spa;/*发送者的协议地址*/
　　unsignedchararp_tha[6];/*目标的硬件地址*/
　　unsignedlongarp_tpa;/*目标的协议地址*/
　　}ARPHDR,*PARPHDR;
三.ARP和RARP报头结构
　　ARP和RARP使用相同的报头结构，如图所示。
　　
 
报送格式

　　硬件类型字段：指明了发送方想知道的硬件接口类型，以太网的值为1；
　　协议类型字段：指明了发送方提供的高层协议类型，IP为0800（16进制）；
　　硬件地址长度和协议长度：指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用；
　　操作字段：用来表示这个报文的类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4；
　　发送方的硬件地址（0-2字节）：源主机硬件地址的前3个字节；
　　发送方的硬件地址（3-5字节）：源主机硬件地址的后3个字节；
　　发送方IP（0-1字节）：源主机硬件地址的前2个字节；
　　发送方IP（2-3字节）：源主机硬件地址的后2个字节；
　　目的硬件地址（0-1字节）：目的主机硬件地址的前2个字节；
　　目的硬件地址（2-5字节）：目的主机硬件地址的后4个字节；
　　目的IP（0-3字节）：目的主机的IP地址。
四、如何查看ARP缓存表
　　ARP缓存表是可以查看的，也可以添加和修改。在命令提示符下，输入“arp –a”就可以查看ARP缓存表中的内容了　
 
　　用“arp -d”命令可以删除ARP表中所有的内容；
　　用“arp -d +空格+ <指定ip地址>” 可以删除指定ip所在行的内容
　　用“arp -s”可以手动在ARP表中指定IP地址与MAC地址的对应，类型为static(静态)，此项存在硬盘中，而不是缓存表，计算机重新启动后仍然存在，且遵循静态优于动态的原则，所以这个设置不对，可能导致无法上网.
五、ARP欺骗
　从影响网络连接通畅的方式来看，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。
　　第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，“网络掉线了”。
解决思路
　　不要把你的网络安全信任关系建立在IP基础上或MAC基础上。
　　设置静态的MAC-->IP对应表，不要让主机刷新你设定好的转换表。
　　除非必要，否则停止ARP使用，把ARP做为永久条目保存在对应表中。
　　使用ARP服务器。确保这台ARP服务器不被黑。
　　使用"proxy"代理IP传输。
　　使用硬件屏蔽主机。
　　定期用响应的IP包中获得一个rarp请求，检查ARP响应的真实性。
　　定期轮询，检查主机上的ARP缓存。
　　使用防火墙连续监控网络。

反向地址转换协议 RARP
　　反向地址转换协议（RARP：Reverse Address Resolution Protocol）
　　反向地址转换协议（RARP）允许局域网的物理机器从网关服务器的 ARP 表或者缓存上请求其 IP 地址。网络管理员在局域网网关路由器里创建一个表以映射物理地址（MAC）和与其对应的 IP 地址。当设置一台新的机器时，其 RARP 客户机程序需要向路由器上的 RARP 服务器请求相应的 IP 地址。假设在路由表中已经设置了一个记录，RARP 服务器将会返回 IP 地址给机器，此机器就会存储起来以便日后使用。
　　RARP 可以使用于以太网、光纤分布式数据接口及令牌环 LAN 。
　　1、RARP产生原因
　　以与ARP相反的方式工作。RARP发出要反向解析的物理地址并希望返回其对应的IP地址，应答包括由能够提供所需信息的RARP服务器发出的IP地址。虽然发送方发出的是广播信息，RARP规定只有RARP服务器能产生应答。许多网络指定多个RARP服务器，这样做既是为了平衡负载也是为了作为出现问题时的备份。
　　2、RARP的工作原理
　　●1. 发送主机发送一个本地的RARP广播，在此广播包中，声明自己的MAC地址并且请求任何收到此请求的RARP服务器分配一个IP地址；
　　●2. 本地网段上的RARP服务器收到此请求后，检查其RARP列表，查找该MAC地址对应的IP地址；
　　●3. 如果存在，RARP服务器就给源主机发送一个响应数据包并将此IP地址提供给对方主机使用；如果不存在，RARP服务器对此不做任何的响应；　
　　●4. 源主机收到从RARP服务器的响应信息，就利用得到的IP地址进行通讯；如果一直没有收到RARP服务器的响应信息，表示初始化失败。
　　3、RARP服务器的设计
　　虽然RARP在概念上很简单，但是一个RARP服务器的设计与系统相关而且比较复杂。相反，提供一个ARP服务器很简单，通常是TCP/IP在内核中实现的一部分。由于内核知道IP地址和硬件地址，因此当它收到一个询问IP地址的ARP请求时，只需用相应的硬件地址来提供应答就可以了。
　　作为用户进程的RARP服务器的复杂性在于：服务器一般要为多个主机（网络上所有的无盘系统）提供硬件地址到IP地址的映射。该映射包含在一个磁盘文件中（在U n i x系统中一般位于/etc/ethers目录中）。由于内核一般不读取和分析磁盘文件，因此RARP服务器的功能就由用户进程来提供，而不是作为内核的TCP/IP实现的一部分。
　　更为复杂的是，RARP请求是作为一个特殊类型的以太网数据帧来传送的（帧类型字段值为0x8035）。这说明RARP服务器必须能够发送和接收这种类型的以太网数据帧。由于发送和接收这些数据帧与系统有关，因此RARP服务器的实现是与系统捆绑在一起的。
　　每个网络有多个RARP服务器实现的一个复杂因素是RARP请求是在硬件层上进行广播的。这意味着它们不经过路由器进行转发。为了让无盘系统在RARP服务器关机的状态下也能引导，通常在一个网络上（例如一根电缆）要提供多个RARP服务器。当服务器的数目增加时（以提供冗余备份），网络流量也随之增加，因为每个服务器对每个RARP请求都要发送RARP应答。发送RARP请求的无盘系统一般采用最先收到的RARP应答。另外，还有一种可能发生的情况是每个RARP服务器同时应答，这样会增加以太网发生冲突的概率。
　　这时候，我们有两种方法来解决RARP 的回应问题。
　　第一种方法：为每一个做 RARP 请求的主机分配一主服务器，正常来说，只有主服务器才会做出 RARP 回应，其它主机只是记录下接收到 RARP 请求的时间。假如主服务器不能顺利做出回应，那么查询主机在等待逾时再次用广播方式发送 RARP 请求，其它非主服务器假如在接到第一个请求后很短时间内再收到相同请求的话，才会做出回应动作。
　　第二种方法：正常来说，当主服务器收到 RARP 请求之后，会直接做出回应；为避免所有非主服务器同时传回 RARP 回应，每台非主服务器都会随机等待一段时间再做出回应。如果主服务器未能做出回应的话，查询主机会延迟一段时间再进行第二次请求，以确保这段时间内获得非主服务器的回应。当然，设计者可以精心的设计延迟时间至一个合理的间隔。