摘要：ARP欺骗攻击将导致用户无法安全稳定的使用网络，对于承担着大量学习资源交流与共享的校园局域网来讲，针对ARP欺骗攻击的安全防范就显得尤其重要。本文从校园局域网ARP欺骗攻击原理、ARP欺骗攻击对校园局域网造成的安全危害、我校局域网ARP欺骗攻击防范策略的实践等三个方面进行了探讨。
关键词：校园局域网；ARP欺骗；安全防范
中图分类号：TP393.08 文献标识码：A 文章编号：1007-9599 （2012） 15-0000-01
随着校园数字化应用的不断深入，校园网已成为重要的学习交流平台及工具，给我们的工作和学习生活带来极大的方便。然而伴随着应用的不断深入和普及校园局域网的安全及防范就成为一个较为突出的问题。ARP欺骗攻击隐蔽性强、危害大对其进行合理的安全防范才能保证校园网正常稳定运行。
1 校园局域网ARP欺骗攻击原理分析
实现对ARP欺骗攻击的有效处置及防范就不得不研究一下ARP协议，这种攻
击行为就是因为利用了ARP协议本身的漏洞来实现的。
ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。在局域网中，网络中实际传输的是“数据帧”，数据帧如果要到达目的地，就必须通过ARP协议获得对方的MAC地址。局域网中装有TCP/IP协议的计算机都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的。例如：ARP缓存表
主机 IP地址 MAC地址
HOST1 192.168.36.1 00-C6-B5-2a-19-00
HOST2 192.168.36.2 00-07-6d-80-c9-28
在局域网中当HOST1发送数据给HOST2时，HOST1会在自己的ARP缓存表中寻找是否有目标IP。如果有则可查询到目标MAC地址并写入数据帧即可完成发送。如果查询不到，则会在网内发送广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.36.2的MAC地址是什么？网内仅有目标IP为192.168.36.2的HOST2做出响应并以将自己的MAC地址应答给HOST1，这样HOST1就知道了HOST2的MAC地址实现数据发送了，同时它还更新了自己的ARP缓存表，下次再向主机HOST2发送信息时，直接从ARP缓存表里查找就可以了。
在ARP协议的工作流程中当源主机不知道目标主机的MAC地址的发起广播询问时，如果一个主机想要发起欺骗，那么它只需向源主机回复一下，响应的IP地址没错，但MAC地址却变成了发起欺骗的主机的，这样，信息就发到它那里去了。ARP协议是建立在网内主机信任的基础之上的，这样一个漏洞被利用后对局域网就会形成ARP网关型欺骗，中间人欺骗以及ARP泛洪攻击。
2 ARP欺骗攻击对校园局域网造成的安全危害
当校园局域网受ARP欺骗攻击时往往造成内部网络的混乱，网关无法和客户端正常通信，使得某些被欺骗的计算机无法正常访问内外网，网络重要信息被窃取。
ARP协议工作在更低层，隐蔽性更高，往往不易被用户发现。通过以上校园局域网ARP欺骗攻击原理的分析，网络管理员可使用检查ARP缓存列表的方式判断。判断步骤为：点击“开始”菜单，选择“运行”， 然后输入“cmd”， 点击“确定”按钮，在命令提示符窗口中输入“arp –d”命令清除本机的 ARP 缓存表，然 后重新尝试上网，如果能恢复正常，则说明此次掉线可能是受 ARP 欺骗攻击所致。“ arp –d”命令能清除 ARP 缓存表，系统会自动重建新的 ARP 缓存表。
3 校园局域网ARP欺骗攻击防范策略
校园局域网通常可采用的防范策略主分有以下三个方面：1）在用户端计算机上绑定交换机网关的IP和MAC地址。2）在核心交换机上绑定用户主机的IP地址和网卡的MAC地址，同时在边缘交换机上将用户计算机网卡的MAC地址和交换机端口绑定的双重安全绑定方式。3）将校园局域网规划出若干个VLAN方式进行逻辑隔离防护。然而单一采取其中的一种方式，在实际的实施过程都不能达到较好防范效果且网络管理员而言也存在实施难度大、管理工作负荷大的缺点。
我校在进行校园局域网ARP欺骗攻击防范策略上，就有针对性选用了锐捷网络GSN解决方案中的“ARP三重立体防御体系”。其主要思想是建立可信任ARP（Trusted ARP）机制，采用锐捷网络S37系列等智能三层接入/汇聚交换机能够支持可信任ARP表项功能的网络设备在网关设备上增加可信ARP表项。从 网关防御、客户端防御、交换机非法报文过滤三个方面全方位立体的解决了ARP欺骗中的网关型欺骗，中间人欺骗以及ARP泛洪攻击，完善的解决了由于ARP协议本身的缺陷所带来的漏洞。在可能发生ARP请求和响应的所有环节，都加以防范同时对于网络管理员来说，所有操作完全都是透明的，不会明显的增加网络管理员的工作负荷，有效保证了我校园局域网安全稳定的运行。
4 结束语
校园局域网ARP欺骗攻击安全防范是一个持久而又坚巨的系统工程。网络管员需要不断跟踪防范欺骗类攻击的最新技术，合理灵活有针对性的采用网络企业解决方案，及时的调整防策略，只有这样才能保证网络安全稳定的运行。
参考文献：
[1]易云飞，阮忠，林芳.ARP协议漏洞分析[J].软件导报，7，4
[2]吴煜煌.校园网中ARP病毒欺骗的防御及措施[J]科协论坛（下半月），2009，03
[3]潘志华.告别网络安全单兵作战-探秘锐捷网络GSN全局安全方案[J].中国教育网，2007（9）：49-50
