如何快速判断机房内网ARP？

逆雪寒

这几天遇到黑客 黑首页。。。  经过两天排查 最后发现是 ARP劫持。。 走了很多弯路。。

最后是 通过  ifconfig em0 -arp

让外网IP 暂不响应 ARP 来进行判断。。    这回 黑客就无法劫持了。。   我想请教下 大家  有木有更好的直接了当的办法判断？

tcpdump -i em0       看里面有很多  arp 记录。。   但似乎都是正常的。。。

求指点..感谢

环境是：

freebsd 8 系统

macafee

直接在上层交换机上绑定就行，另外单独划分VLAN即可解决。

逆雪寒

嗯 是的。 这个是解决这个问题。。。 但我想直接 咋第一时间判断是ARP 劫持呢。

HonestQiao

机房arp是机房告诉你的哦

逆雪寒

回复 4# HonestQiao

机房告诉个P 。。。。 还是我自己发现的呢。。

   

HonestQiao

回复 5# 逆雪寒


   
机房不告诉的话，当年您老是怎么放机器进去的呢？
或者你的前任，前前任呢？

chenyx

没问题的时候,记下网关的mac,直接静态绑定,他就没招了吧

逆雪寒

回复 7# chenyx


嗯 bsd 这边 绑定了 网关的MAC  但是 一样被ARP  劫持 黑了首页


我想是因为 你从服务器版定的 MAC 是  服务器 ->  网关

但是  网关 -> 服务器 这边没有绑定 就直接被黑了。。  所以还得在路由上或交换上做绑定才行


   

chenyx

嗯,让机房的人做绑定.
不过绑定也有缺陷,你的网卡换了,麻烦点

逆雪寒

回复 9# chenyx


  嗯 机房刚做了 端口绑定了。。。  呵呵 就是在想 系统级咋 检测  咋预防。。。