15、网络安全：ARP 配置与内容过滤详解

网络安全：ARP 配置与内容过滤详解

1. ARP 配置与安全防护

Address Resolution Protocol（ARP）是一种通过设备的 IP 地址查找其硬件或 MAC 地址的机制。当同一子网内的设备（不包括代理 ARP）需要使用 IP 进行通信时，它们必须知道对方的 MAC 地址。然而，ARP 也为攻击者提供了可乘之机。恶意攻击者可以向同一子网内的设备发送未经请求的 ARP 或免费 ARP，声称自己是特定 MAC 地址的所有者。当毫无防备的主机向另一设备或默认网关（路由器）发送流量时，该流量会被重定向到攻击者，攻击者进而可以将流量重定向到目标设备，悄然进行中间人攻击。

为了减轻 ARP 带来的安全风险，我们可以通过 FWSM 进行 ARP 检查。当 FWSM 配置为透明模式时，它能够匹配 IP 数据包的源接口、MAC 地址和 IP 地址。由于来自源的流量具有唯一的 IP/MAC 对，FWSM 可以识别不匹配的情况并丢弃流量。例如，当攻击者试图向 FWSM 发送免费 ARP 请求时，FWSM 会因 MAC/IP 地址不匹配而拒绝更新。

要实现 ARP 检查的最大安全能力，需要配置两个选项：
- 配置 MAC 条目 ：默认情况下，当学习到 MAC 条目时，它们会被输入到 FWSM 的 mac-address-table 中，并与学习到该条目的接口相关联。若 FWSM 的 mac-address-table 中没有该 MAC 地址，当子网直接连接时，它会发送 ARP 请求；否则会向目的地发送 ICMP 以确定合适的返回接口，然后相应地填充 mac-address-table。要禁用自动 MAC 学习功能，可以在配置模式下选择