当交换机在发送ARP广播时,源端口今夜你会不会来收到ARP广播?

查看:4022|回复:6
华为S5700,VLAN上有VLANIF,作为每个VLAN的默认网关.
如图,抓包的机器在18.x网段,为什么会收到5700从10网段过来的ARP广播包呢?
(35.13 KB)
一见如故,再见陌路
这个并不是从10网段发过来的,只是本网段的一个询问10网段的arp而已。
如果我们的大脑简单到可以被理解,我们就会愚蠢到无法理解它!
楼上正解:(
引用:原帖由 nanswan 于
09:19 发表
这个并不是从10网段发过来的,只是本网段的一个询问10网段的arp而已。 可以这样理解吗?
我18.x和10.x物理端口都在一个交换机上.
设置所有端口可以通过VLAN 10 TO 20,VLAN的号码和C类IP地址前缀相同,例如10.x就是VLAN10,18.x就是VLAN18.
那么我10.x的机器发ARP广播包,交换机接收到后,对所有可以经过VLAN 10的端口进行ARP广播.
是不是这个道理?
如果不想收到跨VLAN的ARP广播,严格匹配端口可以通过的VLAN即可?
例如在18.x这台机器的端口上,只允许通过VLAN 18的包,那么抓包就不会抓到10.x的包了吗?
是我想象的那样吗?
本帖最后由 Kayv 于
13:30 编辑
高级工程师
都说了,vlan10 内的包必须路由才能跑到vlan18,而arp 包是2层包,无法路由的
tell 192.168.10.1
排除伪造的情况,这句话不正表示是192.168.10.1在问arp吗?那不就是10网段的arp包跑到18网段了吗?求教。
资深技术经理
可能做了ARP代理交换机的工作原理是,它通过MAC地址进行数据帧转发的,交换机内部有一个MAC地址表(MAC&ADDRESS&TABLE),地址表的内容是标注端口(PORT)与MAC地址的对应关系。评论如上图,交换机的一个端口(PORT)上连接一台PC。在交换机加电起动后,它内部的MAC地址表(MAC&ADDRESS&TABLE)是空的,那.....这个表中的MAC地址是怎么来的呢?当HOST&A发送一个数据帧到HOST&B时,连接&HOST&A的交换机端口(E0/0)会记录下HOST&A的MAC地址,这样MAC地址表就建立起了一条记录——HOST&A(的MAC地址)连接在E0/0端口上。这里有一个问题,交换机上的MAC地址表是可以随意被更新的,并且一个端口(PORT)可以对应多个MAC地址,也就是说,交换机端口不会“限制”&主机的“行为”如果是这样的话,那解决ARP问题就变得非常简单了,厂家可以为交换机开发一个增强功能——锁定端口MAC地址更新,只允许具备特定源MAC地址的帧通过,其它帧一律丢弃。所谓ARP攻击无非就是在一台电脑上向内网发送大量虚假的ARP广播,这类广播的源MAC地址和目地MAC地址都是假的,这会造成内网无法工作,因为局域网就是基于MAC地址寻址的。如果交换机具备了上面所描述的功能,这样的数据包根本就不会被发送到局域网中,所以ARP攻击也就无法实现了。说来简单,,,但有没有这样的产品呢????????在这里混的厂家应该不少吧,,,,,,,你们的ARP防护机制是怎样了???
系统管理员
该楼层已被屏蔽 |
板斧的一刀切和白名单策略貌似可用,但是……朕还没想好,明日再议
14:27:53 修改
理论上可行的雷人建议,这样建议的实质,就是修改了ARP协议问题是修改后的ARP协议,谁遵守?另外已经销售的交换机怎么办,全部换掉,哈哈
这个问题很早就解决了,好像是08年的ios版本中就有mac地址限定功能,意思就是说一个E/0上只能通过一个mac。其他一些牌子的交换机貌似叫激活,端口只能由一个MAC地址激活,其他MAC地址在通过时会直接锁定这个端口。
挺复杂的。顶楼主&好样的
这个功能有很久了。端口绑定
楼上几位说的可是骨干网的交换机?就像路由协议一样,估计骨干网上的路由协议路由广播,也需要身份验证之类的设置。否则接入设备胡乱广播路由,不就乱套了。但是企业内网,用到这样级别的交换机有难度吧。成本太高了
我是楼主,我来啦,哈哈,众楼上的问题我马上一一解答,先顶一下
Re:[没事散人,4楼]理论上可行的雷人建议,这样建议的实质,就是修改了ARP协议问题是修改后的ARP协议,谁遵守?另外已经销售的交换机怎么办,全部换掉,哈哈-------------------这一思路是不改动ARP协议的,它其实只是在交换机(端口)上才发挥作用的策略机制,主机可以向往常一样发出ARP包,不会有任何变化,只是这个包在经过交换机的端口时,交换机会对这个包进行筛选。数据帧的格式如下图:这一思路不关心目标地址,仅关心源地址,交换机端口仅转发包含某一特定源MAC地址的数据帧到内网中,其它数据帧一律丢弃。其实正常情况下,流过每一个交换机端口的数据帧的源地址只可能是网线另一头的主机网卡的MAC地址,如果出现第二个源MAC地址,这其实是不正常的。如果在交换机端口上将非法ARP数据包卡死,不允许其进入局域网,ARP攻击也就不能实现了。对于已经售出的交换机,,,这个嘛,,,,,就没有办法了。&&&给交换机添加这一功能应该不是什么难事,当然交换机必须要具备一定的管理功能。发这贴子的目的是想与网友求证一下这一思路是否可行,再有就是,ARP似乎也没那么可怕
您需要登录后才可以发帖
其他登录方式:

我要回帖

 

随机推荐