做ARP双向绑定

        2007年对于反病毒战线来说，绝对不是个安宁的一年，网络病毒的大规模发作，给全国的网民带来的，绝不仅仅是中毒后重做系统这么简单，重要数据丢失，网上银行被窃，网游帐号装备被偷等等，网络病毒的危害性，已经远远超过了人们的想象，而做为绝大多数网民的上网场所，网吧以及企业的局域网络，则首当其冲成为了网络病毒的重灾区。

      网络病毒之所以能以惊人的速度传播，是因为它们都有极强的利用漏洞攻击网络上其他机器的能力，而局域网ARP漏洞攻击，则是目前暴发流行的各种网络病毒最常用的招数，包括目前正在大规模暴发的“机器狗”，也正是利用ARP漏洞在局域网中传染开去。

      ARP（Address Resolution Protocol）又被称为地址转换协议，是用来实现 IP 地址与本地网络认识的物理地址（以太网 MAC 地址）之间的映射。在以太网络中有一张表格，通常称为 ARP 缓冲（ARP cache），来维持每个 MAC 地址与其相应的 IP 地址之间的对应关系。ARP 提供一种形成该对应关系的规则以及提供双向地址转换。ARP协议很像一个思想不坚定容易被骗的人，就像一个快递员，要送信给"张三"，只在马路上问"张三住那儿？"，并投递给最近和他说"我就是！"或"张三住那间！"，来决定如何投递一样。在一个人人诚实的地方，快递员的工作还是能正常进行；但若是旁人看快递物品值钱，想要欺骗取得的话，快递员这种工作方式就会带来混乱了。

      常见ARP攻击对象有两种，一是网络网关，二是局域网上的计算机。攻击网络网关就好比发送错误的地址信息给快递员，让快递员失去正确目标，所有信件无法正常送达；而攻击一般计算机就是直接和人谎称自己就是快递员，让用户把需要传送的物品传送给发动攻击的计算机。由于一般的计算机及路由器的ARP协议的意志都不坚定，因此只要有恶意计算机在局域网持续发出错误的ARP讯息，就会让计算机及路由器信以为真，作出错误的传送网络包动作。一般的ARP欺骗攻击就是以这样的方式，造成网络运作不正常，达到盗取用户密码或破坏网络运作的目的。而要从根本上彻底解决这种欺骗攻击，唯一的办法就是对局域网中的每台机器包括网关在内进行ARP地址双向绑定。

      首先说网关的绑定，这个比较简单，一般的网关路由器或者代理软件均有ARP绑定功能，以笔者使用的路由器为例，绑定的界面简单直观：

      选择静态ARP绑定设置后出现表单：

      在此填入需要绑定的IP地址和MAC地址，然后保存即可。

      若需要对成批的地址进行绑定，也可以选择ARP映射表，会列出局域网中所有正在使用的机器的IP和MAC，方便我们成批的添加绑定：

      点取“全部导入”，然后切换回“静态地址绑定”页面，将要绑定的地址勾中即可：

      在此特别提请注意的是：网关自己的IP和MAC地址也需要在这里做好绑定。

      至此网关部分的ARP绑定工作已经完成，然而只在网关做绑定，防护是不完整的，我们还需要对局域网中的每一台客户机进行单独的绑定。