### ARP攻击与防御（动态ARP检测）
#### 实验概述
ARP攻击是一种常见的网络攻击手段，主要利用ARP协议的漏洞对局域网内的主机发起欺骗，从而实现中间人攻击或者拒绝服务攻击等目的。ARP欺骗攻击可能导致用户无法正常访问网络资源，甚至个人信息被窃取。为了有效抵御此类攻击，网络安全领域引入了动态ARP检测（Dynamic ARP Inspection，简称DAI）技术，该技术能够自动检测并阻止非法ARP报文在网络中的传播。
#### 实验目的
本次实验旨在通过配置交换机的DAI功能来增强网络的安全性，具体目标包括：
1. **理解ARP欺骗攻击的基本原理**：学习ARP欺骗攻击如何发生，以及它对网络产生的影响。
2. **掌握DAI技术的工作机制**：了解DAI如何检测非法ARP报文，以及如何配置DAI来保护网络不受ARP欺骗攻击的影响。
3. **实际操作配置**：通过实际配置交换机，体验如何部署DAI功能来防范ARP攻击。
#### 背景描述
假设在一个企业环境中，网络管理员发现部分员工反馈无法正常访问互联网。进一步调查后发现，用户的PC上缓存的网关ARP绑定信息是错误的，这表明网络中可能遭受了ARP欺骗攻击。通常情况下，可以通过手动配置每个接入端口的地址绑定来防止这种情况发生，但这将消耗大量时间和人力成本。因此，本实验提出采用动态ARP检测(DAI)来自动监控和防御ARP欺骗攻击。
#### 需求分析
ARP欺骗攻击是局域网中最常见的安全威胁之一，主要通过伪造合法的ARP响应包来实现对网络通信的拦截。为了解决这个问题，需要一种能够自动检查网络中ARP报文合法性的技术——即DAI。通过实施DAI，可以有效地过滤掉非法的ARP报文，保障网络通信的安全性和稳定性。
#### 实验拓扑
本次实验使用的网络拓扑包含以下组件：
- 二层交换机1台：用于接入层，支持DHCP监听与DAI功能。
- 三层交换机1台：用于分布层，同样支持DHCP监听与DAI功能。
- PC机3台：分别用于配置DHCP服务器、模拟攻击以及作为正常客户端使用。
#### 预备知识
在进行实验之前，参与者需要具备以下基础知识：
1. **交换机转发原理**：了解数据帧在局域网内是如何被转发的。
2. **交换机基本配置**：熟悉交换机的基本命令行配置方法。
3. **DHCP监听原理**：理解DHCP监听的作用及其配置方法。
4. **DAI原理**：掌握DAI技术的基本概念和工作流程。
5. **ARP欺骗原理**：明确ARP欺骗攻击的具体实施方式及其危害。
#### 实验原理
动态ARP检测(DAI)是一种基于交换机的网络保护技术，它通过检查每个ARP请求和应答报文中源IP地址与MAC地址的对应关系来确定报文的合法性。当DAI检测到不匹配的报文时，会将其标记为非法并进行丢弃处理，以此来阻止ARP欺骗攻击的发生。
#### 实验步骤
1. **配置DHCP服务器**：首先需要在一台PC上配置DHCP服务器，可以使用Windows Server内置的DHCP服务或第三方软件。DHCP服务器的地址池为172.16.1.0/24。
2. **SW2基本配置及DHCP监听配置**：对二层交换机SW2进行配置，包括创建VLAN、指定端口所属VLAN以及配置DHCP监听功能。此外，还需要设置信任端口以允许合法的DHCP报文通过。
3. **SW1基本配置、DHCP监听配置及DHCP Relay配置**：对三层交换机SW1进行类似配置，但还包括分配IP地址给VLAN接口，以及配置DHCP Relay代理功能，以便转发DHCP请求和应答报文。
通过以上步骤的配置，可以在局域网中建立起一套完整的动态ARP检测系统，有效抵御ARP欺骗攻击，提高网络的整体安全性。
