彻底解决局域网ARP攻击的方法

　　廊坊电脑维修ARP协议是TCP/IP协议组的一个协议，能够把网络地址转变成MAC地址，但该协议是有漏洞的，对于它的攻击一般有两种，一种是路由欺骗，另一种是网关欺骗。ARP攻击很烦人，它可以让整个局域网瘫痪，使所以电脑都无法连接到路由器。然而解决方法大都是防范，其实最好和最彻底的解决方法应该是找出罪魁祸首。下面我们就把方法分享出来。

　　ARP 地址攻击查找流程

　　1、如果客户端PC与网关无法通讯，首先在客户端ping 网关地址后，然后在dos窗口下执行 arp –a 查看网关的mac地址，记录下网关MAC地址。到交换机上查找交换机的MAC地址(例如VLAN1接口)

　　执行 show int vlan 1 查看输出信息中VLAN1接口MAC，同时执行 show standby vlan 1查看HSRP网关MAC地址。如果客户端显示的mac(假设为00-0d-0a-ac-bc-78)地址与网关地址不同，则可能是网关的MAC遭到ARP病毒攻击。到交换机上执行show mac-address | in 000d.0aac.bc78在输入信息中查找关联该MAC地址的端口，如果该端口是直连PC或者SERVER的端口，那么该端口所连客户端可能感染ARP类病毒。如果该端口连接的是另外一台交换机，那么登陆到那台交换机上执行show mac-address | in 000d.0aac.bc78直到关联端口是直连PC的端口位置。

　　2、如果客户端PC能够PING通网关但是与其他VLAN的机器PING(假设该地址为192.168.1.111)不通。首先在客户端ping192.168.1.111后，然后在dos窗口下执行 arp –a查看对方IP地址对应的mac地址，记录下其MAC地址(有可能没有信息)，同时在目标机器192.168.1.111上执行ipconfig/all查看该机器网卡mac地址并记录下(注意：交换机上显示的MAC地址和PC上显示的MAC地址格式不一样，交换机上为4个16进制数一组并以“.”分割，PC机上为2个16进制数为一组以”-”分割)。在dos窗口下执行 tracert –d192.168.1.111。查看tracert信息最后一跳到达哪台交换机。登陆到那台交换机上执行PING 192.168.1.111，然后执行show arp | in 192.168.1.111查看输出信息的mac地址与目标机器(192.168.1.111)的mac地址是否相同。如果不同(假设显示为000a.da87.5bca)，记录下后执行 show mac-address | in 000a.da87.5bca在输出信息查看该MAC地址关联到哪个端口，如果关联的端口连接到另外一台交换机上则到那台交换机上执行show mac-address | in000a.da87.5bca，最终找到关联端口连接是最终客户端(PC或者server)的端口，如果该端口不是真正连接192.168.1.111的端口通常该端口既是感染ARP类病毒的机器。在交换机上执行 show arp | in 000a.da87.5bca输入信息通常会显示该MAC会关联多个IP地址。

　　流量攻击型病毒的查找流程

　　如果局域网中通讯不正常、丢包严重，登陆到网关上也会延迟很大，通常是局域网中有机器感染了流量攻击型病毒，该类病毒会发送大量的小字节数据包消耗网络中交换机、路由器的带宽和处理能力。查找该类病毒也是通过流量判断攻击来源。在核心交换机上执行clear count清除当前各个接口上的流量信息，20秒钟后执行show interface查看各个接口上的流量(数据包的数量、总字节数)通常会有一个或几个端口的数据包的数量相当夸张，但是总字节数不一定很多。如果这个端口直连PC那么暂时拔下该端口网线查看网络是否回复正常。如果该端口是连接另外一台交换机那么登陆到那台交换机上依次操作，先清空各个端口的统计数字，20秒钟后检查接口流量。直到找到直连PC而且流量相当大的机器。