ARP 欺骗攻击原理与防御：如何用交换机防内网嗅探？

    ARP（Address Resolution Protocol，地址解析协议）欺骗攻击是局域网（LAN）中一种常见的中间人（Man-in-the-Middle, MITM）攻击方式。其核心原理是利用 ARP 协议无状态、无认证的特性，伪造 ARP 响应包，误导目标主机将流量发送到攻击者控制的设备上，从而实现内网嗅探、会话劫持、拒绝服务等恶意目的。

一、ARP 欺骗攻击原理

1. ARP 协议基础

• 在以太网中，IP 地址需转换为 MAC 地址才能通信。

• 主机通过广播发送 ARP Request（“谁有 192.168.1.1 的 MAC？”），目标主机会回复 ARP Reply（“我是，MAC 是 AA:BB:CC:DD:EE:FF”）。

• 接收方将 IP-MAC 映射缓存到本地 ARP 表中（通常几分钟有效）。

2. 攻击过程

攻击者向目标主机或网关发送伪造的 ARP Reply：

• 向主机 A 发送：“网关 192.168.1.1 的 MAC 是 我的 MAC”

• 向网关发送：“主机 A 的 MAC 是 我的 MAC”

结果：

• 主机 A → 流量发给攻击者（以为是网关）

• 网关 → 回复也发给攻击者（以为是主机 A）

攻击者可选择：

• 转发流量（静默嗅探）

• 篡改/丢弃流量（劫持或 DoS）

二、为什么普通交换机无法防御？

• 传统二层交换机基于 MAC 地址表转发帧，但不验证 ARP 报文合法性。

• 交换机只负责数据链路层转发，对上层协议（如 ARP）内容无感知。

• 因此，即使使用交换机（而非集线器），攻击者仍可通过 ARP 欺骗让其他主机主动把数据发给自己。

⚠️ 注意：交换机本身防止了“被动嗅探”（即监听所有流量），但无法阻止“主动欺骗”导致的流量重定向。

三、如何用交换机防御 ARP 欺骗与内网嗅探？

现代可管理型交换机（尤其是企业级）提供多种安全特性来缓解 ARP 欺骗：

1. 端口安全（Port Security）

• 限制每个交换机端口允许学习的 MAC 地址数量（如仅 1 个）。

• 可绑定特定 MAC 地址（静态绑定），防止非法设备接入。

• 若检测到非法 MAC，可关闭端口或丢弃帧。

✅ 防止攻击者从非授权端口发起攻击。

2. 动态 ARP 检测（Dynamic ARP Inspection, DAI）

• 核心防御机制！

• 交换机只信任来自合法 DHCP 服务器的 ARP 映射（需配合 DHCP Snooping）。

• 当收到 ARP 报文时，DAI 会检查：

• 源 IP/MAC 是否与 DHCP Snooping 绑定表一致？

• 是否来自受信任端口（如连接 DHCP 服务器的端口）？

• 若不合法，直接丢弃 ARP 包。

✅ 有效阻止伪造 ARP Reply。

📌 要求：启用 DHCP Snooping + DAI，并标记上联口为 trusted。

3. IP Source Guard（IPSG）

• 基于 DHCP Snooping 绑定表，过滤不符合 IP-MAC-端口绑定的流量。

• 即使攻击者绕过 ARP，也无法用伪造 IP 发送数据包。

✅ 防止 IP 欺骗和流量注入。

4. 802.1X 认证

• 强制用户/设备在接入网络前进行身份认证（如用户名密码、证书）。

• 未认证设备无法通信，大幅缩小攻击面。

✅ 从接入层控制终端合法性。

四、其他补充防御措施

五、总结

💡 提示：在企业网络中，应优先在网络基础设施（交换机）层面部署防御，而非依赖终端软件，以实现集中、高效、可扩展的安全策略。