何靜
ARP欺騙和攻擊問題,是企業(yè)網絡的心腹大患,關于這個問題的各種防范措施也層出不窮。但問題是,真正擺脫ARP問題困擾了嗎?從用戶那里了解到,雖然嘗試過各種方法,但這個問題并沒有根本解決。原因就在于,目前很多種ARP防范措施,一是解決措施的防范能力有限,并不是最根本的辦法;二是對網絡管理約束很大,不方便、不實用或不具備可操作性;三是某些措施對網絡傳輸的效能有損失,網速變慢、帶寬浪費也不可取。
這類通過具體分析普遍流行的4種防范ARP措施,了解為什么ARP問題始終不能根治,并進一步分析在免疫網絡的模式下,對ARP攻擊是如何徹底根除的,為什么只有免疫網絡能夠做到。
雙綁措施
雙綁是在路由器和終端上都進行IP-MAC綁定的措施,它可以對ARP欺騙的兩邊(偽造網關和截獲數據)都具有約束的作用。這是從ARP欺騙原理上進行的防范措施,也是最普遍應用的辦法。它對付最普通的ARP欺騙是有效的。
但雙綁的缺陷在于:
1.在終端上進行的靜態(tài)綁定,很容易被升級的ARP攻擊所搗毀,病毒的一個ARP-d命令,就可以使靜態(tài)綁定完全失效。
2.在路由器上做IP-MAC表的綁定工作費時費力,是一項繁瑣的維護工作。換個網卡或更換IP,都需要重新配置路由。對于流動性電腦,這個需要隨時進行的綁定工作,是網絡維護的巨大負擔,網管員幾乎無法完成。
3.雙綁只是讓網絡兩端的電腦和路由不接收相關ARP信息,但是大量的ARP攻擊數據還能發(fā)出,還要在內網傳輸,大幅降低內網傳輸效率,依然會出現問題。
因此,雖然雙綁曾經是ARP防范的基礎措施,但因為防范能力有限、管理太麻煩,現在它的效果越來越有限。
ARP個人防火墻
在一些殺毒軟件中加入ARP個人防火墻的功能,它是通過在終端電腦上對網關進行綁定,保證不受網絡中假網關的影響,從而保護自身數據不被竊取的措施。ARP防火墻使用范圍很廣,有很多人以為有了防火墻,ARP攻擊就不構成威脅,其實完全不是那么回事。
ARP個人防火墻也有很大缺陷:
1.它不能保證綁定的網關一定是正確的。如果一個網絡中已經發(fā)生了ARP欺騙,有人在偽造網關,那么,ARP個人防火墻就會綁定這個錯誤的網關,這是具有極大風險的。即使配置中不默認而發(fā)出提示,缺乏網絡知識的用戶恐怕也無所適從。
2.ARP是網絡中的問題,ARP既能偽造網關,也能截獲數據,是個“雙頭怪”。在個人終端上做ARP防范,而不管網關那端如何,這本身就不是一個完整的辦法。ARP個人防火墻的作用,就是防止自己的數據不會被盜取,而整個網絡的問題,如掉線、卡滯等,ARP個人防火墻是無能為力的。因此,ARP個人防火墻并沒有提供可靠的保證。最重要的是,它是跟網絡穩(wěn)定無關的措施,它是個人的,不是網絡的。
VLAN和交換機端口綁定
通過劃分VLAN和交換機端口綁定,以圖防范ARP,也是常用的防范方法。做法是細致地劃分VLAN,減小廣播域的范圍,使ARP在小范圍內起作用,而不至于發(fā)生大面積影響。同時,一些網管交換機具有MAC地址學習的功能,學習完成后,再關閉這個功能,就可以把對應的MAC和端口進行綁定,避免了病毒利用ARP攻擊篡改自身地址。也就是說,把ARP攻擊中被截獲數據的風險解除了,這種方法確實能起到一定的作用。
不過,VLAN和交換機端口綁定的問題在于:
1.沒有對網關的任何保護,不管如何細分VLAN,網關一旦被攻擊,照樣會造成全網的掉線和癱瘓。
2.把每一臺電腦都牢牢地固定在一個交換機端口上,這種管理太死板,根本不適合移動終端的使用,從辦公室到會議室,這臺電腦恐怕就無法上網了。在無線應用下,還是需要其他的辦法。
3.實施交換機端口綁定,必定要全部采用高級的網管交換機和三層交換機,整個交換網絡的造價大大提高。
因為交換網絡本身就是無條件支持ARP操作的,它本身的漏洞造成了ARP攻擊的可能,它上面的管理手段不是針對ARP的。因此,在現有的交換網絡上實施ARP防范措施,屬于以子之矛攻子之盾,而且操作維護復雜,基本上是個費力不討好的事情。
PPPoE
網絡下面給每一個用戶分配一個帳號和密碼,上網時必須通過PPPoE認證,這種方法也是防范ARP措施的一種。PPPoE撥號方式對封包進行了二次封裝,使其具備了不受ARP欺騙影響的使用效果,很多人認為找到了解決ARP問題的終極方案。
但其問題主要集中在效率和實用性上面:
1.PPPoE需要對封包進行二次封裝,在接入設備上再解封裝,必然降低了網絡傳輸效率,造成了帶寬資源的浪費,要知道在路由等設備上添加PPPoE Server的處理效能和電信接入商的PPPoE Server可不是一個數量級的。
2.PPPoE方式下局域網間無法互訪,在很多網絡都有局域網內部的域控服務器、DNS服務器、郵件服務器、OA系統(tǒng)、資料共享和打印共享等,需要有局域網間相互通信的需求,而PPPoE方式使這一切都無法使用,是無法被接受的。
3.不使用PPPoE,在進行內網訪問時,ARP的問題依然存在,什么都沒有解決,網絡的穩(wěn)定性還是不行。
因此,PPPoE在技術上屬于避開底層協(xié)議連接,眼不見心不煩,通過犧牲網絡效率換取網絡穩(wěn)定。最不能接受的就是網絡只能上網用,內部其他的共享不能在PPPoE下進行。
通過對以上4種普遍的ARP防范方法的分析,可以看出,現有ARP防范措施都存在問題,這也是ARP即使研究很久很透,但依然在實踐中無法徹底解決的原因所在。
道高一尺魔高一丈,網絡問題必定需要網絡的方法去解決,從技術原理上,徹底解決ARP欺騙和攻擊,要有3個技術要點:
1.終端對網關的綁定要堅實可靠,這個綁定能夠抵制被病毒搗毀;
2.接入路由器或網關要對下面終端IP-MAC的識別始終保證唯一準確;
3.網絡內要有一個最可信的機構,提供對網關IP-MAC最強大的保護,它既能夠分發(fā)正確的網關信息,又能夠對出現的假網關信息立即封殺。
安全廠商們應該從這3個技術要點出發(fā),利用專門的技術解決手段,在現有的網關、交換機、網卡和網線構成的普通交換網絡基礎上,加入一套安全和管理的解決方案。這樣一來,在普通的網絡通信中,就融合了安全和管理的機制,保證了在網絡通信過程中具有安全管控的能力,堵上了普通網絡對安全從不設防的先天漏洞,徹底解決這個安全隱患。