|
TOP
免疫网络 解决ARP最根本的办法
[ 编辑:dzdn | 时间:2025-08-25 10:35:04
| 浏览:6次 | 来源:德州电脑服务网 | 作者:德州电脑服务网 ]
'
ARP欺骗和攻击问题，是企业网络的心腹大患。关于这个问题的讨论已经很深入了，对ARP攻击的机理了解的很透彻，各种防范措施也层出不穷。 但问题是，现在真正摆脱ARP问题困扰了吗？从用户那里了解到，虽然尝试过各种方法，但这个问题并没有根本解决。原因就在于，目前很多种ARP防范措施，一是解决措施的防范能力有限，并不是最根本的办法。二是对网络管理约束很大，不方便不实用，不具备可操作性。三是某些措施对网络传输的效能有损失，网速变慢，带宽浪费，也不可取。 但双绑的缺陷在于3点： 因此，虽然双绑曾经是ARP防范的基础措施，但因为防范能力有限，管理太麻烦，现在它的效果越来越有限了。 二、ARP个人防火墙 ARP个人防火墙也有很大缺陷： 因此，ARP个人防火墙并没有提供可靠的保证。最重要的是，它是跟网络稳定无关的措施，它是个人的，不是网络的。 没有对网关的任何保护，不管如何细分VLAN，网关一旦被攻击，照样会造成全网上网的掉线和瘫痪。 把每一台电脑都牢牢地固定在一个交换机端口上，这种管理太死板了。这根本不适合移动终端的使用，从办公室到会议室，这台电脑恐怕就无法上网了。在无线应用下，又怎么办呢？还是需要其他的办法。 实施交换机端口绑定，必定要全部采用高级的网管交换机、三层交换机，整个交换网络的造价大大提高。 因为交换网络本身就是无条件支持ARP操作的，就是它本身的漏洞造成了ARP攻击的可能，它上面的管理手段不是针对ARP的。因此，在现有的交换网络上实施ARP防范措施，属于以子之矛攻子之盾。而且操作维护复杂，基本上是个费力不讨好的事情。 四、PPPoE 网络下面给每一个用户分配一个帐号、密码，上网时必须通过PPPoE认证，这种方法也是防范ARP措施的一种。PPPoE拨号方式对封包进行了二次封装，使其具备了不受ARP欺骗影响的使用效果，很多人认为找到了解决ARP问题的终极方案。 问题主要集中在效率和实用性上面： PPPoE方式下局域网间无法互访，在很多网络都有局域网内部的域控服务器、DNS服务器、邮件服务器、OA系统、资料共享、打印共享等等，需要局域网间相互通信的需求，而PPPoE方式使这一切都无法使用，是无法被接受的。 因此，PPPoE在技术上属于避开底层协议连接，眼不见心不烦，通过牺牲网络效率换取网络稳定。最不能接受的，就是网络只能上网用，内部其他的共享就不能在PPPoE下进行了。 通过对以上四种普遍的ARP防范方法的分析，我们可以看出，现有ARP防范措施都存在问题。这也就是ARP即使研究很久很透，但依然在实践中无法彻底解决的原因所在了。 下篇：免疫网络是解决ARP最根本的办法 道高一尺魔高一丈，网络问题必定需要网络的方法去解决。目前，欣全向推广的免疫网络就是彻底解决ARP问题的最实际的方法。 从技术原理上，彻底解决ARP欺骗和攻击，要有三个技术要点。 免疫网络在这三个问题上，都有专门的技术解决手段，而且这些技术都是厂家欣全向的技术专利。下面我们会详细说明。现在，我们要先做一个免疫网络结构和实施的简单介绍。 免疫网络就是在现有的路由器、交换机、网卡、网线构成的普通交换网络基础上，加入一套安全和管理的解决方案。这样一来，在普通的网络通信中，就融合进了安全和管理的机制，保证了在网络通信过程中具有了安全管控的能力，堵上了普通网络对安全从不设防的先天漏洞。 免疫网络的结构 实施一个免疫网络不是一个很复杂的事，代价并不大。它要做的仅仅是用免疫墙路由器或免疫网关，替换掉现有的宽带接入设备。在免疫墙路由器下，需要自备一台服务器24小时运行免疫运营中心。免疫网关不需要，已自带服务器。这就是方案的所需要的硬件调整措施。硬件的价位，从1000多元到10万元，针对各种不同的企业需求，大、中、小、微型企业都能各取所需，选择的范围非常广泛。 免疫网络的监控中心 免疫网络具有强大的网络基础安全和管理功能，对ARP的防范仅是其十分之一不到的能力。但本文谈的是ARP问题，所以我们需要回过头来，具体地解释免疫网络对ARP欺骗和攻击防范的机理。至于免疫网络更多的强大，可以后续研究。 前述治理ARP问题的三个技术要点，终端绑定、网关、机构三个环节，免疫网络分别采用了专门的技术手段。 终端绑定采用了看守式绑定技术。免疫网络需要每一台终端自动安装驱动，不安装或卸载就不能上网。在驱动中的看守式绑定，就是把正确的网关信息存贮在非公开的位置加以保护，任何对网关信息的更改，由于看守程序的严密监控，都是不能成功的，这就完成了对终端绑定牢固可靠的要求。 免疫墙路由器或免疫网关的ARP先天免疫技术。在NAT转发过程中，由于加入了特殊的机制，免疫墙路由器根本不理会任何对终端IP-MAC的ARP申告，也就是说，谁都无法欺骗网关。与其他路由器不同，免疫墙路由器没有使用IP-MAC的列表进行工作，当然也不需要繁琐的路由器IP-MAC表绑定和维护操作。先天免疫，就是不用管也具有这个能力。 从以上三个措施来看，免疫网络确实真正解决了困扰已久的ARP问题，技术上是严谨的，应用上是可行的，成本也是相对低廉。所以，与常见的四种ARP防范办法比较，免疫网络是解决ARP最根本的办法。 欣全向公司一直以来推广免疫网络，已经成功地为数以万计的用户解决了ARP困扰。用精湛的技术为中国现代企业信息化助力，欣全向受到了广大用户的首肯，现在已经有越来越多的用户接受了免疫网络，免疫网络的前景一片光明。 |
热门文章
|