网络安全之arp协议实解

  首先要知道的是其实在arp数据包中，真实数据的传递是靠二层以太网包头中源MAC与目标MAC地址识别的，三层的arp协议只是起到一个解析的作用。如果目标MAC为全F，则是广播，此种实际情况下在arp request中可见。目标MAC地址为单台真实MAC，则为一个单播的arp reply包形式。真实测试与实际应用可灵活变通。（即所谓的arp request包不一定要发送广播，如果单播也能起到“欺骗作用”）

Arp request：

  此arp包为一个标准的arp request包，简单的可以理解为：谁是172.16.1.7？麻烦告诉172.16.1.224。接收方将arp解析中源mac与源ip记录与更新到自己的本地arp缓存中，并回送一个arp reply包实际中可将目的mac改成目标ip，即单播的形式，更好的避免了广播，增加了些许隐蔽性。

在目的机器上的表现可以看出：

将其中的源mac和ip更改后可以达到arp欺骗的作用，而在arp包头中将原ip地址和目的ip地址改成相同的，在目的主机上也可以达到ip冲突的报警。其实实际上你在网络上将一台pc配置了静态的ip网络信息后，它将会在全网发送一个arp request广播，来验证网络上是否有其他主机配置了相同的ip地址。而此时你的ip地址将不能成功了配置，将会得到如下信息

而在另外一台主机将在它的又下角提示ip冲突，如下图

对于一些现在市面上的arp防火墙，其检测***者的手法也就是解开arp包里面的相关ip与mac信息，所以如果只是留正确的目标mac其余均伪造的信息既可以达到arp欺骗，又能隐藏***者的作用，这边笔者建议不要经常使用广播的形式，因为广播大会被首先怀疑

Arp reply数据包

此为一个标准的arp reply包

00:0C:29:06:DC:FA为真实目标地址，数据包简单的说明可以理解为：172.16.1.7在11:11:11:11:11:11，依据为arp解析协议包头中的源mac与源ip，不难发现，目的ip与源ip地址相同，则pc会报警ip冲突。这边要注意了，虽然arp是全自动的，主机主动发起并记录缓存的，但是对于使用arp reply实现arp欺骗的朋友，arp缓存中不会记录或更新新的（原本不存在的）ip地址对应的mac地址项，而只能更新现有arp中ip对应mac地址的缓存，不知道我这么说有没有明白。具体还请细细体会。

目标计算机详情：

仔细查看检测到的冲突的硬件地址所在arp包的位置

其实现在来说，对于大众化的ipV4网络来说arp为一个必要协议，是IETF在19几几年制定的吧，真的是很老很老了，具体我不是很记得。原本互联网的目的就是达到互联互通，并没有太多的考虑安全性方面，而现在arp协议在很大程度上已经被***所利用。可以这么说吧，目前百分之九十以上的企业其实都中过arp病毒，只是你没有发现而已。可能当时的你就重启下交换机解决了，也没有太多的在意。

IPv4转向IPv6的原因众所周知 .在基于TCP/IP的网络中 ,地址解析 (以及逆向地址解析 )是一个十分重要的问题 .IPv4中一直使用了ARP和RARP两个协议来解决 .IPv6对于这个问题使用一种新的协议 ,即邻居发现协议 ,这些功能包括在ICMPv6中 ,其中邻居宣告和邻居请求合在一起代替了IPv4中的ARP协议，我们也能告别v4时代arp的烦恼了，哎，期待ipV6的逐步替代过程吧,以上为随便闲谈，有朋友交流的我第一时间看到回复，老鸟勿喷，虚心听从指导。