Nhungph
Chuyên gia
Tổng số bài gửi : 14
Points : 40
Join date : 16/01/2011
 |  Tiêu đề: Các ARP chức năng giữa Internet và các giao diện mạng của lớp / mô hình TCP IP:  Tue Mar 29, 2011 12:28 am | |
|
Các giao thức ARP đã được định nghĩa trong RFC 826 , bởi David Plummer vào năm 1982. Các giao thức ARP là một giao thức phát sóng: nó nhận được một điểm đến địa chỉ IP và gửi ra một yêu cầu phát sóng cho tất cả các máy để xem. Yêu cầu đặt câu hỏi,Nếu bạn là địa chỉ IP N, xin vui lòng trả lời với địa chỉ của bạn (MAC) Ethernet . Mỗi máy chủ lưu trữ trên mạng sẽ giám sát mạng cho các yêu cầu này, khi đó là địa chỉ được yêu cầu nó sẽ gửi mộtarp trả lời. Các trả lời arp xác định địa chỉ Ethernet 48 bit để sử dụng cho địa chỉ IP.
Các ARP chức năng giữa Internet và các giao diện mạng của lớp / mô hình TCP IP:
TCP / IP Layer
Tầng ứng dụng
Transport Layer
Internet Layer
<----------------------------------------- ARP
Lớp giao diện mạng
Việc cần thiết cho ARP phát sinh từ thực tế là trong IP v4 không có đủ không gian để lưu trữ địa chỉ MAC như là một phần của máy chủ của địa chỉ IP (IPX và IPv6 có thể làm điều đó, đó có nghĩa là đối với những giao thức thường có ít nhu cầu về các giao thức như ARP mặc dù nó vẫn có thể phục vụ các địa chỉ MAC cho họ, nếu cần thiết).
Vì vậy để cho hai máy chủ để liên lạc, địa chỉ IPv4 hợp lý phải được giải quyết đến địa chỉ vật lý của các thẻ card mạng (địa chỉ MAC). Điều này được thực hiện bằng ARP. Đây là một giao thức rất cũ tạo ra vào năm 1982 và tự nhiên nó được tạo ra mà không có bất kỳ liên quan đến an ninh.
Sự cần thiết cho ARP phát sinh khi máy gửi phải hoàn tất các nội dung của trường địa chỉ đích trong khung Ethernet. Các khung Ethernet phải bao gồm các nguồn và điểm đến địa chỉ MAC:
Địa chỉ đích Ethernet
Địa chỉ SourceEthernet
TypeData
Cyclic Redundancy Check
Các địa chỉ nguồn Ethernet được lấy từ hạt nhân mà có được nó từ bộ nhớ truy cập ngẫu nhiên không bay hơi (NVRAM) về việc khởi động. Tại thời điểm này, các khung Ethernet là gần như đã sẵn sàng để gửi. Tất cả những gì cần thiết là địa chỉ Ethernet của host đích ...
Có thể có hai trường hợp của độ phân giải địa chỉ MAC:
Nếu đích đến cuối cùng (tiếp nhận hệ thống) của thông điệp được gửi là trên cùng một mạng LAN là hệ thống gửi, chỉ có một độ phân giải địa chỉ MAC là bắt buộc. Điều này làm cho hơi tương tự như ARP DNS: giống như địa chỉ trong DNS có thể được đổi ra tiền mặt hoặc bạn cần để có được nó bằng cách nào đó bằng cách gửi một yêu cầu.
Nếu, mặt khác, những điểm đến cuối cùng của tin nhắn này là trên một mạng LAN khác nhau, nhiều độ phân giải địa chỉ sẽ được yêu cầu, một cho mỗi bước nhảy qua một router cho đến khi đích đến cuối cùng là đạt được.
ARP là một giao thức phát sóng và nó hoạt động trong phân đoạn mạng cục bộ (không vượt qua ranh giới router). Nếu đích đến cuối cùng (tiếp nhận hệ thống) của thông điệp được gửi là trên cùng một mạng LAN là hệ thống gửi, chỉ có một ARP phân giải địa chỉ được yêu cầu. Nếu đích đến cuối cùng là trên một mạng khác nhau, độ phân giải địa chỉ có thể được yêu cầu trên mỗi mạng thông điệp đi qua trên con đường đến đích cuối cùng của nó.
Ví dụ, giả sử rằng hệ thống alpha phải giao tiếp với hệ thống phiên bản beta và nó không biết hệ thống beta địa chỉ MAC.
Để xác định địa chỉ MAC của hệ thống hệ thống alpha sẽ gửi một yêu cầu ARP để các mạng con nội bộ bằng cách sử dụng địa chỉ broadcast Ethernet ( ff: ff: ff: ff: ff: ff) . Các yêu cầu ARP bao gồm địa chỉ IP của hệ thống phiên bản beta .
phát sóng này được xem bởi tất cả các hệ thống trên phân khúc bao gồm, cho biết, phiên bản beta và gamma .
Các gamma và beta nhận ra rằng yêu cầu ARP chứa địa chỉ IP và địa chỉ MAC của alpha và thêm thông tin này để bàn của họ ARP, nếu nó chưa được hiện nay. Loại nhập cảnh được biết đến như một không được yêu cầu nhập cảnh vì thông tin này không rõ ràng yêu cầu.
Hệ thống thử nghiệm xác định địa chỉ IP của nó trong các yêu cầu ARP và gửi một thư trả lời ARP cho hệ thống alpha . Các phản ứng ARP bao gồm địa chỉ Ethernet của hệ thống phiên bản beta , và nó được gửi bằng cách sử dụng địa chỉ Ethernet unicast của hệ thống alpha .
Hệ thống alpha nhận được trả lời ARP và lưu trữ các thông tin về phiên bản beta trong bảng ARP của nó. Loại mục là một trưng cầu nhập cảnh vì hệ thống alpha yêu cầu thông tin này
Nó sẽ là ngớ ngẩn để liên tục gửi một yêu cầu ARP phát sóng mỗi lần tổ chức một nhu cầu để tìm địa chỉ vật lý của một máy chủ lưu trữ nó truy cập thường xuyên. Vì lý do này, tất cả hiện thực của giao thức TCP / IP bao gồm một bộ nhớ cache ARP để giữ địa chỉ IP để ánh xạ địa chỉ MAC.
ARP Cache
câu trả lời ARP được lưu trữ trong bảng ARP để có các thông tin có sẵn nếu có yêu cầu một lần nữa trong tương lai gần. Bảng ARP, lưu trữ trong bộ nhớ, các cửa hàng yêu cầu ( trưng cầu) Ethernet địa chỉ cho tối đa 20 phút. Bảng này được đọc mỗi lần một địa chỉ Ethernet đích là cần thiết để chuẩn bị một khung Ethernet để truyền. Nếu một địa chỉ Ethernet không xuất hiện trong bảng ARP, một yêu cầu ARP được gửi. Một máy chủ mà trả lời cho một yêu cầu ARP cũng cập nhật bảng ARP của nó và Ethernet với địa chỉ IP của máy chủ yêu cầu. Có hai loại chính của các mục trong bộ nhớ cache:
mục trưng là những nơi mà một địa chỉ Ethernet đã được cụ thể yêu cầu bằng cách tổ chức một,
các mục không mong muốn là kết quả của việc lưu trữ thông tin về một máy chủ đã được thực hiện một yêu cầu ARP.
mục tĩnh (được thảo luận sau đó, phải được thêm vào thủ công bằng cách sử dụng arp-s lệnh)
xuất bản các mục - một dạng đặc biệt của tĩnh mục mà lưu trữ các câu trả lời ARP mục về hành xử của máy chủ lưu trữ khác.
Trong Solaris bạn cần sử dụng lệnh:
NDD / dev / ip ip_ire_arp_interval
để hiển thị thời gian mà mục ARP được lưu trữ. Mặc định là 1200000 micro giây (20 phút). Điều đó có nghĩa rằng Solaris mục ARP cache trưng cho 20 phút.
ARP mục cache chỉ 5 phút. Unsolicited Sử dụng lệnh:
NDD / dev / ip arp_cleanup_interval
Nếu mục nhập không được sử dụng trong 15 phút, nó sẽ bị xóa khỏi bộ nhớ cache, nếu bộ nhớ cache là ở công suất tối đa. Nếu bộ nhớ cache là ở công suất tối đa và một mục mới đến, t ông lần đầu tiên được tìm thấy nhập cảnh sẽ được kéo mạnh và thay thế bằng các mục mới.
Trong Solaris ARP cache thông số được lưu trữ trong PROTOCOL.INI . Các tham số, arptblsize , dưới sự [ tcp_xif phần] điều khiển kích thước của bộ nhớ cache ARP. Mặc định là ( tcpconnections * 2) + 6. Phạm vi đó là 6-512 mục.
Hoạt động tiêu biểu trên ARP Cache
Có bảy hoạt động chính mà bạn có thể thực hiện với bộ nhớ cache arp:
Bạn có thể kiểm tra tất cả các mục trong bảng ARP với lệnh:
# Arp-a
Bạn có thể kiểm tra một mục bảng ARP cụ thể bằng lệnh:
# Arp tên máy
Bạn cũng có thể thêm một mục nhập bảng ARP tĩnh (cho đến khi khởi động lại) bằng cách sử dụng lệnh:
# Ethernet_address tên máy arp-s
Bạn có thể cư một bảng ARP thủ công trong các tình huống trong đó các thiết bị điểm đến không thể đáp ứng các yêu cầu ARP. Để thêm một mục nhập bảng ARP được công bố, thực hiện lệnh:
# Arp-s ethernet_address tên máy chủ quán rượu
Bạn có thể tạo ra cái gọi là "xuất bản" ARP xuất nhập cảnh khi bạn muốn có một máy chủ để trả lời một yêu cầu ARP thay mặt cho chủ khác. Đây là một tùy chọn hữu ích cho môi trường không đồng nhất và một số cấu hình SLIP hoặc PPP, trong đó một số máy không thể đáp ứng các yêu cầu ARP cho mình.
Để thêm ARP mục từ một tập tin, thực hiện lệnh:
# Arp-f tên tập tin
Mục trong tập tin này nên có dạng:
tên máy ethernet_address [pub]
Để xóa một mục bảng ARP, thực hiện lệnh:
# Arp-d hostname
nơi tên máy là tên của máy chủ hoặc địa chỉ ký hiệu chấm thập phân IP của nó.
Các vấn đề an ninh
Một mạng chuyển mạch không thích để đánh hơi dễ dàng như một mạng chuyển mạch không. Nó không phát sóng hầu hết các khung. Nhưng sự phát triển của các mạng chuyển mạch đã được thúc đẩy bởi sự cần thiết cho băng thông hơn, không phải cho nhu cầu của nhiều mạng an toàn. Tuy nhiên nó là nhiều hơn nữa an toàn mà không phải chuyển sang mạng và không có lý do những ngày sử dụng bất cứ điều gì mà các mạng chuyển mạch. Mặc dù đánh hơi là khó khăn hơn, nó không phải là không thể và một số phương pháp có sẵn để đánh hơi các mạng chuyển mạch:
ARP Spoofing . Một trong những hoạt động cơ bản của giao thức Ethernet xoay quanh ARP (giao thức phân giải địa chỉ) các yêu cầu và trả lời. Nói chung, khi Node A muốn liên lạc với nút C trên mạng, nó sẽ gửi một yêu cầu ARP. Node C sẽ gửi một thư trả lời ARP mà sẽ bao gồm địa chỉ MAC. Ngay cả trong một môi trường chuyển sang, yêu cầu này ARP ban đầu được gửi một cách phát sóng. Nó có thể cho Node B để thủ công và gửi một, không được yêu cầu giả ARP trả lời Node A. ARP giả này trả lời sẽ chỉ định rằng Node B có địa chỉ MAC của Node C. Node A vô tình sẽ gửi lưu lượng đến Node B vì nó xưng có địa chỉ MAC dự định. Có những công cụ mà chăm sóc cáp để làm điều này tự động gửi giả ARP trả lời cho các lớp học của máy (ví dụ, các máy chủ NFS, HTTP máy chủ, vv.) Một trong những công cụ được dsniff5 và nó hoạt động tốt để phát cho các loại cụ thể của giao thông. Các công cụ khác lắng nghe các yêu cầu ARP nói chung và gửi trả lời ARP giả tại thời điểm đó. Chương trình parasite4 thuộc thể loại này và nó cũng phục vụ để phát toàn bộ mạng. Đối với loại tấn công để làm việc, chúng ta cần khả năng để chuyển tiếp vào khung hình chúng tôi nhận được để lưu trữ dự định của họ. Điều này thường được thực hiện thông qua một số loại chuyển tiếp IP, hoặc là ở cấp hạt nhân hoặc ứng dụng.
Lũ lụt MAC . Kể từ khi thiết bị chuyển mạch có trách nhiệm thiết lập các mạch ảo từ một nút khác, họ phải giữ một bảng theo dõi các bản dịch có địa chỉ (cụ thể, có địa chỉ MAC) có trên cổng vật lý. Số lượng bộ nhớ cho bảng này dịch rất hạn chế. Thực tế này đôi khi cho phép chuyển đổi được khai thác bởi lũ lụt bảng dịch. thiết bị chuyển mạch nguyên thủy, không biết làm thế nào để xử lý các dữ liệu dư thừa, sẽ "không mở". Nghĩa là, nó sẽ trở lại trung tâm và sẽ phát sóng tất cả các khung hình mạng để tất cả các cổng. Lúc này mạng sniffers điểm chung sẽ làm việc.
MAC nhân đôi . Nó không khó khăn để tưởng tượng rằng, vì tất cả các khung hình trên mạng được định tuyến dựa trên địa chỉ MAC của họ, rằng khả năng đóng vai một chủ nhà sẽ làm việc để lợi thế của chúng tôi. Đó chỉ là những gì MAC nhân bản nào. Bạn cấu hình lại Node B để có địa chỉ MAC giống như các máy tính có lưu lượng truy cập bạn đang cố gắng để đánh hơi. Điều này khác với ARP Spoofing bởi vì, trong ARP Spoofing, chúng tôi đang 'khó hiểu' đầu độc các máy chủ đó là ARP cache. Trong một cuộc tấn công MAC Nhân bản, chúng tôi thực sự nhầm lẫn giữa việc chuyển đổi chính nó vào suy nghĩ hai cổng có địa chỉ MAC giống nhau. Kể từ khi các dữ liệu sẽ được chuyển tiếp đến cả hai cổng, không có chuyển tiếp IP là cần thiết.
Có một số phương pháp để bảo vệ một lần nữa các cuộc tấn công. Một số các phương pháp được áp dụng cho cả môi trường không chuyển và chuyển. Một số thiết bị chuyển mạch tiên tiến đã được xây dựng trong bảo vệ khỏi lũ lụt. Một giải pháp là như vậy gọi là Sticky ARP như trong Cisco 7600 Series Router
Sticky ARP ngăn chặn giả mạo địa chỉ MAC bằng cách bảo đảm các mục ARP (địa chỉ IP, địa chỉ MAC, và VLAN nguồn) không được ghi đè. router duy trì ARP mục để chuyển tiếp lưu lượng cho các thiết bị hoặc thiết bị định tuyến khác. ARP mục thường được cập nhật định kỳ hoặc sửa đổi khi chương trình phát sóng ARP được nhận. Trong một cuộc tấn công, ARP chương trình phát sóng được gửi bằng cách sử dụng một địa chỉ MAC giả mạo (với một địa chỉ IP hợp pháp) để router biết địa chỉ IP hợp pháp với địa chỉ MAC giả mạo và bắt đầu để chuyển tiếp lưu lượng truy cập đến địa chỉ MAC. Với dính ARP kích hoạt, router học được các mục ARP và không chấp nhận sửa đổi được thông qua các chương trình phát sóng ARP.
Nếu bạn cố gắng để ghi đè lên cấu hình ARP dính, bạn sẽ nhận được một thông báo lỗi. Đối với một mô tả đầy đủ của các thông báo lỗi hệ thống, hãy tham khảo Cisco 7600 Series Router Cisco IOS hệ thống tin nhắn hướng dẫn tại URL này:
http://www.cisco.com/univercd/cc/td/doc/product/core/cis7600/software/122sx/msggd/index.htm
Hầu hết các lệnh quan trọng
arp-a - cache điểm
arp tên máy - xem xét một mục bảng ARP cụ thể
-S arp tên máy ethernet_address - thêm một khởi động lại) vào bảng ARP (cho đến khi tĩnh
# Arp-s ethernet_address quán rượu tên máy - cho biết thêm một bảng đăng nhập ARP
arp-f tên tập tin - cho biết thêm ARP mục từ tập tin. Mục trong tập tin này nên có dạng:
tên máy ethernet_address [pub]
arp-d tên máy - xóa một mục bảng ARP
Microsoft arp tiện ích
Hiển thị và sửa đổi các bảng địa chỉ dịch vụ IP-to-vật lý sử dụng
giao thức phân giải địa chỉ (ARP).
ARP-s inet_addr eth_addr [if_addr]
ARP-d inet_addr [if_addr]
ARP-a [inet_addr] [-N if_addr]
-A Hiển thị hiện các mục theo thẩm vấn ARP giao thức dữ liệu hiện hành. Nếu inet_addr được quy định, các IP và địa chỉ vật lý để xác định các máy tính chỉ được hiển thị. Nếu có nhiều hơn một mạng giao diện sử dụng ARP, mục cho mỗi bảng ARP được hiển thị.
-G Tương tự như-một.
inet_addr Chỉ định một địa chỉ internet.
-N if_addr Hiển thị các mục ARP cho giao diện mạng theo quy định của if_addr.
-D Xóa chủ theo quy định của inet_addr. inet_addr có thể wildcarded với * để xóa tất cả các host.
-S Thêm chủ và liên kết các địa chỉ Internet inet_addr với địa chỉ vật lý eth_addr. Các địa chỉ vật lý được cho là 6 byte thập lục phân cách nhau bằng dấu gạch nối. Mục nhập này là vĩnh viễn.
eth_addr Chỉ định một địa chỉ vật lý.
if_addr Nếu có, điều này xác định địa chỉ Internet của giao diện có địa chỉ bảng dịch phải được sửa đổi. Nếu không có, các áp dụng giao diện đầu tiên sẽ được sử dụng.
Ví dụ:
s arp-157.55.85.212 00-aa-00-62-c6-09 # Thêm một mục tĩnh.
arp-a Hiển thị # toàn bộ bảng arp.
arp-a 157.55.85.212 # Hiển thị bảng arp nhập cảnh cho 157.55.85.212
| |
|
