以太网安全管理实验——ARP欺骗

原理原理

​ARP欺骗本质：利用ARP协议无认证机制，篡改IP-MAC映射关系，劫持或监听流量。

​DAI防御核心：交换机基于DHCP Snooping绑定表或静态绑定表，验证ARP包的真实性，丢弃非法ARP报文。

1. 按照拓扑配置IP。PC1、PC2、PC3 ping 路由器网关地址，查看路由器R1的ARP表项。检查PC4与PC1通信情况。PC1、PC2、PC3ping网关R1的ARP表yongPC1pingPC4可达
2. 将PC3的IP地址修改为PC1的IP地址。清除PC3的ARP缓冲区。在SW3的G0/0/1接口上抓包，PC3 ping 路由器网关地址，查看抓取的报文情况。用arp -d命令将PC3的ARP表清除，再用arp -a查看是否清除干净G0/0/1的抓包结果显示有1组arp包和5组icmp的ping包，其中的arp包的ip为192.1.1.1，但是mac地址却是PC3的mac地址
3. 查看AR1的ARP表项。将PC3的IP重新设置为192.1.1.3，让PC4去ping PC1，查看通信情况及抓包情况。AR1的ARP表                                          PC4ping不通 PC1观察抓到的包发现PC4对PC1的icmp包因为ar路由器的mac地址缓存错误，而发送到了PC3，但是PC3此时ip地址已经是192.1.1.3了，所以不会进行icmp响应，导致PC4无法ping通。
4. 建立用户绑定表，进行ARP欺骗防御。将PC1的MAC表绑定PC1要先ping一遍PC4将R1的ARP1表刷新PC3此时在改成PC1的地址已经ping不通网关了，防御成功

                                                                                                                                                                                                                                                                       实验小结

   本实验通过模拟ARP欺骗攻击，揭示了ARP协议因缺乏身份认证机制导致的严重安全风险：攻击者可通过伪造IP-MAC映射实施中间人攻击，劫持合法通信或引发网络瘫痪。实验验证了动态ARP检测（DAI）的防御有效性，通过交换机绑定合法设备的IP-MAC表项并校验ARP报文，成功拦截了欺骗流量，恢复网络正常通信。这一实践不仅深化了对ARP协议漏洞的理解，更强化了在网络中部署多层防御（如DAI、端口安全）的必要性，为构建安全可靠的网络环境提供了关键技术支撑。