數(shù)據(jù)幀中一開始因?yàn)椴恢繡C設(shè)備的MAC地址，這個(gè)時(shí)候需要將目標(biāo)MAC地址填充為FF－FF－FF－FF－FF－FF

假設(shè)工作在局域網(wǎng)，交換機(jī)解析數(shù)據(jù)幀，獲取到目標(biāo)MAC地址為FF－FF－FF－FF－FF－FF，交換機(jī)會(huì)自動(dòng)廣播，將數(shù)據(jù)幀發(fā)送給局域網(wǎng)內(nèi)的每臺設(shè)備

局域網(wǎng)內(nèi)的所有設(shè)備解析數(shù)據(jù)幀，獲取到MAC地址為FF－FF－FF－FF－FF－FF，即便不是自己的MAC地址所有設(shè)備也會(huì)解析數(shù)據(jù)幀。目標(biāo)IP是自己的設(shè)備，則會(huì)封裝數(shù)據(jù)幀返回給發(fā)送者，并告知發(fā)送方自己的MAC地址；如果目標(biāo)IP不是自己，則相應(yīng)的設(shè)備會(huì)丟棄數(shù)據(jù)幀

收到CC設(shè)備的MAC后，AA設(shè)備會(huì)緩存到ARP緩存表。原因是為了避免下次發(fā)送數(shù)據(jù)給CC設(shè)備的時(shí)候，還要再次使用ARP協(xié)議去獲取MAC地址

發(fā)送ARP廣播請求，請求內(nèi)容為我是xxx，我的MAC是xxx,IP是xxx的MAC是多少？

接受ARP單播應(yīng)答

數(shù)據(jù)幀中因?yàn)椴恢繡C設(shè)備的MAC地址，這個(gè)時(shí)候需要將目標(biāo)MAC地址填充為FF－FF－FF－FF－FF－FF

假設(shè)工作在局域網(wǎng)，交換機(jī)解析數(shù)據(jù)幀，獲取到目標(biāo)MAC地址為FF－FF－FF－FF－FF－FF，交換機(jī)會(huì)自動(dòng)廣播，將數(shù)據(jù)發(fā)送給局域網(wǎng)內(nèi)的每臺設(shè)備

局域網(wǎng)內(nèi)的所有設(shè)備解析數(shù)據(jù)幀，獲取到MAC地址為FF－FF－FF－FF－FF－FF，即便不是自己的MAC地址所有設(shè)備也會(huì)解析數(shù)據(jù)幀。目標(biāo)IP是自己的設(shè)備，則會(huì)封裝數(shù)據(jù)幀返回給發(fā)送者，并告知發(fā)送方自己的MAC地址；如果目標(biāo)IP不是自己，則相應(yīng)的設(shè)備會(huì)丟棄數(shù)據(jù)幀。但是這個(gè)時(shí)候BB為攻擊設(shè)備，即便數(shù)據(jù)幀中目標(biāo)IP不是自己，它會(huì)偽造自己的MAC地址，然后冒充CC設(shè)備做出ARP響應(yīng)

AA設(shè)備這時(shí)候會(huì)收到2個(gè)ARP響應(yīng)信息，如果CC設(shè)備的ARP響應(yīng)先到AA設(shè)備，BB設(shè)備后偽造的ARP響應(yīng)會(huì)覆蓋CC設(shè)備的ARP響應(yīng)。那么此時(shí)AA設(shè)備將無法與CC設(shè)備通信，因?yàn)锳A設(shè)備的ARP表中與CC設(shè)備IP對應(yīng)關(guān)系的MAC是BB設(shè)備的MAC，IP與MAC不匹配是無法通信的。

局域網(wǎng)內(nèi)的所有設(shè)備解析數(shù)據(jù)幀，獲取到MAC地址為FF－FF－FF－FF－FF－FF，即便不是自己的MAC地址所有設(shè)備也會(huì)解析數(shù)據(jù)幀。目標(biāo)IP是自己的設(shè)備，則會(huì)封裝數(shù)據(jù)幀返回給發(fā)送者，并告知發(fā)送方自己的MAC地址；如果目標(biāo)IP不是自己，則相應(yīng)的設(shè)備會(huì)丟棄數(shù)據(jù)幀。但是這個(gè)時(shí)候BB為攻擊設(shè)備，即便數(shù)據(jù)幀中目標(biāo)IP不是自己，BB卻還是用自己網(wǎng)卡真實(shí)的MAC地址，做出ARP響應(yīng)。

然后BB在與CC正常通信，這個(gè)時(shí)候BB起到中間轉(zhuǎn)發(fā)的作用，但是AA能與CC正常通信。BB設(shè)備可以實(shí)現(xiàn)監(jiān)聽、竊取、篡改、控制流量等目的，但不中斷AA設(shè)備和CC設(shè)備通信。

靜態(tài)ARP綁定

ARP表的靜態(tài)數(shù)據(jù)優(yōu)先級高于動(dòng)態(tài)數(shù)據(jù)，因此我們直接在ARP表內(nèi)綁定IP和MAC的關(guān)系不會(huì)被動(dòng)態(tài)ARP響應(yīng)覆蓋。還是以上圖交換機(jī)的原理圖為例,比如AA設(shè)備手動(dòng)綁定網(wǎng)關(guān)的IP地址和MAC地址，那么AA設(shè)備即便遭到ARP攻擊，也不會(huì)出現(xiàn)斷網(wǎng)的情況。雖然會(huì)收到冒充自己是網(wǎng)關(guān)的ARP攻擊響應(yīng)，但是會(huì)置之不理。同樣AA設(shè)備和CC設(shè)備互相通信，雙方互相綁定了AA和CC設(shè)備的IP和MAC地址，這時(shí)候BB設(shè)備即使想進(jìn)行ARP欺騙，也無法實(shí)現(xiàn)。

問：靜態(tài)ARP綁定怎么感覺有點(diǎn)不方便呢？

答：為了防止遭到ARP攻擊，需要收集所有要進(jìn)行通信的設(shè)備IP和MAC，然后添加到自己的ARP表里面，更要命的是ARP表是存放在內(nèi)存中，機(jī)器重啟后需要重新輸入所有設(shè)備的IP和MAC地址關(guān)系，相當(dāng)麻煩。

硬件級ARP防御

上述靜態(tài)ARP綁定的方式工作量太大，要想從根本上解決ARP攻擊，還需要從交換機(jī)上下手。交換機(jī)原本工作在二層，只能識別數(shù)據(jù)幀，但是為了解決dhcp攻擊和ARP攻擊等，企業(yè)級交換機(jī)增加了解析其它上層協(xié)議的功能【當(dāng)然相應(yīng)的價(jià)格就貴了】。解決ARP攻擊的方案是在交換機(jī)上綁定每個(gè)端口的IP(配合DHCP服務(wù)器)和MAC地址的關(guān)系。