路由器對(duì)內(nèi)網(wǎng)ARP的病毒防御解決方案
路由器在網(wǎng)吧應(yīng)用中的現(xiàn)實(shí)情況往往是，路由換了一個(gè)又一個(gè)，網(wǎng)吧該掉還是掉，現(xiàn)實(shí)面前，網(wǎng)吧經(jīng)營(yíng)者們帶著太多的疑惑和失望。下面我們來(lái)看看內(nèi)網(wǎng)Arp欺騙影響網(wǎng)吧掉線的主要原因：
內(nèi)網(wǎng)Arp造成掉線
Arp欺騙已經(jīng)成為網(wǎng)絡(luò)公害，幾乎8成的網(wǎng)吧都發(fā)生過(guò)Arp攻擊造成的掉線故障。Arp掉線是通過(guò)偽造MAC地址，欺騙路由、偽造網(wǎng)關(guān)進(jìn)行的，其具體原理如下：
大家都知道，內(nèi)部PC要上網(wǎng)，則要設(shè)置PC的IP地址，還有網(wǎng)關(guān)地址，這里的網(wǎng)關(guān)地址就是欣聯(lián)NATEASY路由器的內(nèi)網(wǎng)IP地址，內(nèi)部PC是如何訪問(wèn)外部網(wǎng)絡(luò)呢？就是把訪問(wèn)外部網(wǎng)的報(bào)文發(fā)送給NATEASY路由器的內(nèi)部網(wǎng)，由NATEASY路由器進(jìn)行NAT地址轉(zhuǎn)發(fā)后，再把報(bào)文發(fā)送到外部網(wǎng)絡(luò)上，同時(shí)又把外部回來(lái)的報(bào)文，去查詢路由器內(nèi)部的NAT鏈接，回送給相關(guān)的內(nèi)部PC，完成一次網(wǎng)絡(luò)的訪問(wèn)。
每臺(tái)計(jì)算機(jī)在網(wǎng)絡(luò)上，都存在兩個(gè)地址，一個(gè)是IP地址，一個(gè)是MAC地址，MAC地址就是網(wǎng)絡(luò)物理地址，這個(gè)地址在一個(gè)網(wǎng)絡(luò)內(nèi)是唯一的，在一個(gè)正常的通訊過(guò)程中，這個(gè)地址是對(duì)應(yīng)并且不應(yīng)改變的，內(nèi)部PC要把報(bào)文發(fā)送到網(wǎng)關(guān)上，首先根據(jù)網(wǎng)關(guān)的IP地址，通過(guò)Arp去查詢NATEASY路由器的MAC地址，然后把報(bào)文發(fā)送到該MAC地址上，MAC地址是物理層的地址，所有報(bào)文要發(fā)送，最終都是發(fā)送到相關(guān)的MAC地址上的。
所以在每臺(tái)PC上，都有Arp的對(duì)應(yīng)關(guān)系，就是IP地址和MAC地址的對(duì)應(yīng)表，這些對(duì)應(yīng)關(guān)系就是通過(guò)Arp和RArp報(bào)文進(jìn)行更新的。
目前在網(wǎng)絡(luò)上的Arp病毒，會(huì)發(fā)送假冒的Arp報(bào)文，比如發(fā)送網(wǎng)關(guān)IP地址的Arp報(bào)文，把網(wǎng)關(guān)的IP對(duì)應(yīng)到自己的MAC上，或者一個(gè)不存在的MAC地址上去，同時(shí)把這假冒的Arp報(bào)文在網(wǎng)絡(luò)中廣播，所有的內(nèi)部PC就會(huì)更新了這個(gè)IP和 MAC的對(duì)應(yīng)表，下次上網(wǎng)的時(shí)候，就會(huì)把本來(lái)發(fā)送給網(wǎng)關(guān)的MAC的報(bào)文，發(fā)送到一個(gè)不存在或者錯(cuò)誤的MAC地址上去，這樣就會(huì)造成斷線了。
這就是Arp地址欺騙，該病毒在一段時(shí)間內(nèi)特別的猖獗。針對(duì)這種情況，防Arp地址欺騙的功能也相繼出現(xiàn)在一些專業(yè)路由器產(chǎn)品上。
路由器對(duì)Arp病毒防御主要通過(guò)以下幾種手段解決：
1、主動(dòng)廣播正確的網(wǎng)關(guān)地址，有很多路由器一接到網(wǎng)絡(luò)上，就無(wú)法正常訪問(wèn)，這種情況一般是因?yàn)閮?nèi)網(wǎng)中有一臺(tái)機(jī)器在偽造網(wǎng)關(guān)，不信的向內(nèi)網(wǎng)其他機(jī)器發(fā)送虛假網(wǎng)關(guān)信息，有些的路由器支持廣播正確網(wǎng)關(guān)地址的功能，只需勾取此功能，即可對(duì)以上第一種Arp欺騙進(jìn)行防范。
2、提供IP地址和MAC地址雙向綁定的功能，雙向綁定能夠徹底解決Arp病毒欺騙的問(wèn)題。目前在市面上宣傳有此功能的廠家不少，但是在實(shí)際測(cè)試過(guò)程中發(fā)現(xiàn)一般有以下幾個(gè)問(wèn)題：
1）有些品牌的路由器不提供自動(dòng)掃描功能，這樣需使用其他軟件掃描后，再將對(duì)應(yīng)的IP／MAC綁定表復(fù)制到路由器中，操作起來(lái)非常麻煩，且容易出錯(cuò)，一般人員無(wú)法進(jìn)行。
2）有些品牌的路由器產(chǎn)品雖然提供了自動(dòng)掃描功能，但其對(duì)所掃描的MAC地址不做判斷，導(dǎo)致所掃描出來(lái)的MAC地址本身就有很多是重復(fù)的，同樣解決不了Arp欺騙的問(wèn)題。
3）一般的路由器在做雙向綁定到100條左右路由器就會(huì)崩潰，出現(xiàn)頻繁的掉線，重啟等現(xiàn)象，這是因?yàn)檐浖惴ú煌斐傻?，而有些路由器在?shí)際工作中綁定了300條以上照樣非常穩(wěn)定的工作。
3、病毒隔離功能。一般的寬帶路由器并無(wú)此防范功能，有些帶有病毒隔離功能的路由器智能的將內(nèi)網(wǎng)“中毒”主機(jī)自動(dòng)進(jìn)行隔離免疫，有效的防止“一臺(tái)機(jī)器中毒，整個(gè)網(wǎng)絡(luò)遭殃”的局面出現(xiàn)。
4、內(nèi)網(wǎng)廣播風(fēng)暴抑制，synFlooding，UDPFlooding的防御，外網(wǎng)的synFlooding、DDOS攻擊防御。
5、有些路由器還支持自動(dòng)掃描，并且能夠?qū)呙璧腗AC地址進(jìn)行判斷，不會(huì)出現(xiàn)誤掃的情況，因?yàn)檫@些路由器在實(shí)際使用過(guò)程中，綁定到300個(gè)以上的IP／MAC地址，同時(shí)做了300個(gè)以上的主機(jī)流控，仍然非常穩(wěn)定的運(yùn)行。
路由器對(duì)內(nèi)網(wǎng)ARP的病毒防御的分析就是這么多內(nèi)容，您在選擇路由器時(shí)可根據(jù)本文內(nèi)容進(jìn)行參考，因?yàn)槁酚善鞯墓δ苌洗嬖诓町?，所以選擇適合的路由是很重要的。
【編輯推薦】
