1、什么是ARP協(xié)議

ARP協(xié)議全程地址解析協(xié)議（AddressResolution Protocol，ARP）是在僅知道主機的IP地址時確定其物理地址的一種協(xié)議。因IPv4和以太網(wǎng)的廣泛應用，其主要作用是通過已知IP地址，獲取對應物理地址的一種協(xié)議。

2、什么是ARP代理（ARP proxy）

在網(wǎng)絡(luò)中代理是非常常見的，所謂的代理就是我朝一個人要，另外一個人給。生活中一個比較實際的例子就是，房屋中介。

Arp協(xié)議要求通信的主機的雙方必須是在物理的同一個網(wǎng)段。那如果發(fā)送主機和目標主機不是在同一個局域網(wǎng)里，而ARP廣播包是不能夠跨越網(wǎng)段進行傳輸?shù)摹Ｋ源藭r就需要一個路由或ARP中繼技術(shù)來轉(zhuǎn)發(fā)ARP請求包。客戶端獲取到的mac地址是路由器或者中繼的MAC地址。那么之后這個客戶端發(fā)給目的端的數(shù)據(jù)，都會先發(fā)給這個路由器或ARP中繼，再進而轉(zhuǎn)給目的端，這種情況就稱為ARP代理。

3、arp協(xié)議工作原理

原理圖：

當主機10.0.0.1要發(fā)送數(shù)據(jù)給10.0.0.2數(shù)據(jù)，會首先去查本地的arp緩存表，如果有此IP地址和此主機對應的MAC地址，如果有就可以直接傳輸數(shù)據(jù)。如果沒有就主機10.0.0.1就會向局域網(wǎng)去廣播，詢問誰的IP地址是10.0.0.2.此時在本局域網(wǎng)中的所有主機都能夠收到此廣播包，但只有主機10.0.0.2才會回應這個廣播包。會以單播的形式直接回復10.0.0.2說我的MAC地址為多少。此時10.0.0.1收到了此信息，那么兩者之間就能夠通過MAC地址進行通信了。并且將這個ARP和IP對應信息緩存到ARP緩存表里。

4、ARP欺騙工作原理：

ARP欺騙就是通過偽造IP地址和MAC地址對實現(xiàn)ARP欺騙的，它能夠在網(wǎng)絡(luò)中產(chǎn)生大量的ARP包，來讓網(wǎng)絡(luò)堵塞。攻擊主機只要持續(xù)的發(fā)送假的ARP包，讓網(wǎng)絡(luò)中的主機緩存錯誤的IP-MAC對應信心，造成網(wǎng)絡(luò)中斷或中間人攻擊。

ARP攻擊主要是在局域網(wǎng)中的，因為ARP包是不會垮網(wǎng)絡(luò)傳播的。所以劃分VLAN能夠減少當受到ARP攻擊后，網(wǎng)絡(luò)受影響的范圍。

ARP欺騙過程圖及講解：

ARP欺騙防御辦法

1）進行MAC和IP地址進行綁定

2）殺毒軟件開啟arp防火墻

ARP病毒排查

1）使用arp ?a命令查看本地arp緩存表，查看重復MAC地址或在交換機路由器上查看重復MAC地址。

2）使用ARP防御軟件或檢測軟件（如：科萊，彩影arp防火墻分析流量，查找可以攻擊源）

3）使用折半法排除網(wǎng)絡(luò)出錯范圍。（如先斷開一般的網(wǎng)絡(luò)查看是否正常，如果正常就說明斷開的那部分有問題。然后再接上剩下的那一半繼續(xù)查看，依次類推最終找到問題點）

當然排查、預防ARP攻擊的方法有很多，大家可以自己尋找。

轉(zhuǎn)自：https://my.oschina.net/mxs/blog/596559