15、网络安全配置：ARP 与内容过滤详解

网络安全配置：ARP 与内容过滤详解

1. ARP 协议概述

地址解析协议（ARP）是一种通过设备的 IP 地址来查找其硬件或 MAC 地址的机制。当同一子网内（不包括代理 ARP）的设备需要通过 IP 进行通信时，它们必须知道对方的 MAC 地址，这样才能进行通信。

然而，从安全角度看，恶意攻击者可以利用 ARP 协议，向同一子网内的设备发送未经请求的 ARP 或免费 ARP，声称自己是某个特定 MAC 地址的所有者。当毫无防备的主机向其他设备或默认网关（路由器）发送流量时，这些流量会被重定向到攻击者那里。攻击者随后可以将流量重定向到目标设备，从而悄悄地进行中间人攻击。

2. ARP 检查机制

当防火墙服务模块（FWSM）配置为透明模式时，它能够匹配 IP 数据包的源接口、MAC 地址和 IP 地址。这一过程有助于减轻上述提到的中间人攻击。因为来自源的流量具有唯一的 IP/MAC 对，FWSM 能够识别不匹配的情况，并有权丢弃流量。

例如，当攻击者试图向 FWSM 发送免费 ARP 请求时，由于 MAC/IP 地址不匹配，FWSM 会拒绝更新。

3. ARP 配置参数

为了让 ARP 检查提供最大的安全能力，需要配置两个选项：

3.1 配置 MAC 条目

默认情况下，当学习到 MAC 条目时，它们会被输入到 FWSM 的 MAC 地址表中，并与学习到该条目的接口相关联。如果 FWSM 的 MAC 地址表中没有该 MAC 地址，若子网是直接连接的，它会发送一个 ARP 请求；否则，它会向目的地发送一个 ICMP 以确定合适的返回接口，然后相应地填充