ARP缓冲中毒的解决办法？

north

有个叫arpinject的软件，主要功能就是定时向局域内广播或向某个物理地址发送错误的ARP信息，导致ARP缓冲中毒。（当然类似道理的还有别的程序）\r\n      我模模糊糊觉得配置VLAN是不是可以部分地解决？另外入侵检测系统是否可以对这种情况有所反应？\r\n请多指教，谢谢！

JohnBull

不论什么方法,只要限制了arp广播就可以解决.\r\nIDS对此恐怕无能为力,因为它无法判断相互矛盾的两次arp信息究竟谁是真的,是欺骗还是用户更换IP造成的.

无双

如果使用静态ARP技术呢\r\n虽然静态ARP在换网卡时需要修改配置文件\r\n\r\n但是保证不会根据ARP广播修改目标地址ARP

north

原帖由 \"JohnBull\" 发表：\n不论什么方法,只要限制了arp广播就可以解决.\r\nIDS对此恐怕无能为力,因为它无法判断相互矛盾的两次arp信息究竟谁是真的,是欺骗还是用户更换IP造成的.

    \r\n\r\n它不光是广播，还可以指定特定的目标物理地址，单纯封了广播是不行的。\r\n\r\n假如在IDS里备有IP（静态）与物理地址的映射，是否可以呢？

north

[quote]原帖由 \"无双\"]如果使用静态ARP技术呢虽然静态ARP在换网卡时需要修改配置文件但是保证不会根据ARP广播修改目标地址ARP[/quote 发表：\n     \r\n\r\n目前有这样的技术和应用吗？能否介绍一下？谢谢！

奥黛儿

好象做不到吧? 你可以在服务器上使用IP-MAC绑定,但它对其它客户机仍然有影响,要给所有的客户机都做ip-mac绑定太费神麻烦了.

JohnBull

IP与MAC的绑定理论上可以解决问题,但实际操作起来太麻烦--每台计算机都得配置一大堆静态arp.\r\n\r\n我在网络技术版讨论过这个问题了,其实只要将PPPoE和VLAN结合就能解决这个问题.\r\n用PPPoE取消arp,用VLAN隔离PPPoE最开始的PADT.

奥黛儿

刚试过一个\"网络执法官\"的软件,可以做到ip与mac绑定,但它的工作原理是向网络中发送arp广播,所以安装软件的机器负载会很大,而且对网络性能也造成不小的影响.

无双

静态arp在各unix版本都会有配置文件的\r\n好久没有使用\r\n配置文件不知道是哪个\r\n到solaris版问问应该有人知道\r\n\r\n另外封了ARP广播不是很现实\r\n因为底层的寻址是通过ARP广播实现的

奥黛儿

我只知道linux下绑定ip-mac的文件是/etc/ethers, 用arp -f启用.