eNSP——ARP及ProxyARP

原理：

ARP (Address Resolution Protocol)是用来将IP地址解析为MAC地址的协议。ARP表项可以分为动态和静态两种类型。动态ARP是利用ARP广播报文，动态执行并自动进行IP地址到以太网MAC地址的解析，无需网络管理员手工处理。静态ARP是建立IP地址和MAC地址之间固定的映射关系，在主机和路由器上不能动态调整此映射关系，需要网络管理员手工添加。设备上有一个ARP高速缓存(ARP cache)，用来存放IP地址到MAC地址的映射表，利用ARP请求和应答报文来缓存映射表，以便能正确地把三层数据包封装成二层数据帧，达到快速封装数据帧、正确转发数据的目的。另外ARP还有扩展应用功能，比如Proxy ARP功能。Proxy ARP，即代理ARP，当主机上没有配置默认网关地址(即不知道如何到达本地网络的网关设备)，可以发送一个广播ARP请求(请求目的主机的MAC地址)，使具备Proxy ARP功能的路由器收到这样的请求后，在确认请求地址可达后，会使用自身的MAC地址作为该ARP请求的回应，使得处于不同物理网络的同一网段的主机之间可以正常通信。

例子：

本实验模拟公司网络场景。路由器R1是公司的出口网关，连接到外网。公司内所有员工使用10.1.0.0/16网段，通过交换机连接到网关路由器上。网络管理员通过配置静态ARP防止ARP欺骗攻击，保证通信安全。又由于公司内所有主机都没有配置网关，且分属于不同广播域，造成无法正常通信，网络管理员需要通过在路由器上配置ARP代理功能，实现网络内所有主机的通信。

拓扑图：

编址：

1.基本配置

按照编址配置基本IP地址配置

我们查看一下主机的ARP表，目前这个表是空的

根据实验编址配置路由器R1的接口IP地址，掩码长度为24

配置完后，看一下R1的ARP表，我们发现表里装了刚才我们设置的两个网关端口

自己试着把R1与PC机ping通，ping不通不能进行下面环节

ping通后，路由器的ARP表中就有了目标IP地址与目标MAC地址的对应表项

　　

2.配置静态ARP

上述ARP协议的工作行为往往被攻击者利用。如果攻击者发送伪造的ARP报文，而且报文里面所通告的IP地址和MAC地址的映射是错误的，则主机或网关会把错误的映射更新到ARP表中。当主机要发送数据到指定的目标IP地址时，从ARP表里得到了不正确的硬件MAC地址，并用之封装数据帧，导致数据帧无法正确发送。由于公司内主机感染了这种ARP病毒，所以主机对网关R1进行ARP攻击，向网关R1通告含错误映射的ARP通告，导致网关路由器上使用不正确的动态ARP映射条目，造成其他主机无法与网关正常通信。

接下来我们使用命令在路由器上静态添加一条关于PC1的错误的ARP映射。（模拟黑客攻击）

再看一下，路由表已经变了

我们再用PC1ping一下网关，发现不行了，相互ping不通了

因为ARP映射了错误的物理地址，我们来抓一下包，可以看到，当pc1发送ping请求时，回去的包，网关发送到了错误的地方

应对ARP欺骗攻击，防止其感染路由器的ARP表，可以通过配置静态ARP表项来实现。如果IP地址和一一个MAC地址的静态映射已经出现在ARP表中，则通过动态ARP方式学来的映射则无法进入ARP表。所以针对公司网络的现状，网络管理员在R1上手工配置三条关于PC-1、PC-2和PC-3的正确ARP映射。使用arp static命令,配置如下。

删除错误的：

绑定正确的：

然后我们测试一下。这样就好了

当然这种方法的优点是操作简单，但是它的缺点是必须使网络中的设备都在ARP表中，工作量太大，那我们该怎么办呢？

静态ARP不行，Proxy ARP便出现了

3.配置Proxy ARP

目前公司的网络被路由器R1分割为两个独立的广^播域，每个路由器接口对应-一个IP网络，分别是10.1.1.0/24 和10.1.2.0/24，查看R1的路由表。

默认情况下，路由器上的ARP代理功能是关闭的。

用PC2ping 10.1.2.3时候不通

所以我们给R1开启ARP代理

开启ARP代理后，PC-2 访问PC-3的工作过程如下。

R1的接口GE 0/0/1开启了ARP代理后，收到PC-2的ARP广播请求报文后，R1根据ARP请求中的目标IP地址10.1.2.3 查看自身的路由表中是否有对应的目标网络，R1的GE0/0/2接口就是10.1.2.0/24网络，所以,R1直接把自身的GE0/0/1接口的MAC地址通过ARP响应返回给PC-2, PC-2接收到此ARP响应后使用该MAC作为目标硬件地址发送报文给R1, R1收到后再把报文转发给PC-3。同理，PC-3 要能访问R1连接的其他广播域的PC,也需要在R1的GE 0/0/2接口上开启ARP代理功能。

配置完后，我们测试一下，这样我们就可以ping通了