web-dev-qa-db-ja.com

ネットワークでのarp中毒を防ぐ方法

ネットワーク上の一部のユーザーがwifikillまたはnetcutを使用して他のユーザーがインターネットにアクセスできないようにします

[ ISP's router: public IP ] - [ gateway: public IP eth1 - network eth0 (NAT) ] - [ switch and access point ] - [ clients ]

他のすべてのコンピューターはWifiまたはLANを使用してゲートウェイとしてeth0に接続します。

1つのクライアントが他のクライアントのarpキャッシュを汚染するのを防ぐ方法、ゲートウェイはLinuxを使用していますか？

arponは効果がないようです。

または、ARPスプーフィング保護を備えた製品（スイッチおよびアクセスポイント）はありますか？

arp-spoofing
3
Kokizzu

プライベートVLAN（PVLANS）を使用するようにスイッチを構成します。 PVLANは基本的に、物理ポートGi1/1-47は物理ポートGi1/48（ゲートウェイがある場合）とのみ通信できると述べています。同じサブネット上のものでさえ、話をするためにゲートウェイを通過する必要があります。 Nホストのセットアップでは、通常、ホストが通信する理由はないため、セキュリティにはPVLAN構成が最適です。

ホストから発信されたARP（またはそのことについては何か）は、他のホストに到達できません。

4
hippa-hippo

私が考えることができる解決策のいくつかは：

  • あなたが敵対者を知っているなら、彼らを捕まえて、彼らがなぜこれをしているのかを知り、そしておそらく彼らをブロックしてください。これは、攻撃を阻止するための最良の方法の1つです。そうしないと、

  • ネットワークが小さい場合は、静的IPアドレスと静的ARPテーブルを使用できます。その場合、 "arp -s"コマンドがLinuxマシンで役立ちます。

シスコの製品には solution があるようです。 ARPインスペクションを実行し、奇妙なARP応答をドロップします。

このフォーラムの質問の1つで、Huawei社もARP中毒のいくつかの特許を取得していますが、リンクを見つけることはできません。

2
Jor-el

攻撃されたユーザーがルーターゲートウェイの静的なarpエントリを入力した場合、これらのプログラムのほとんどがそうであるように、攻撃者が攻撃者のマシンに移動するために毒殺されることはありません。

ただし、手動で行う必要があります。

あなたが手助けするハードウェアを持っていない限り、他に方法はありません。

1
Alex R