arp协议工作原理(arp协议工作原理回送请求)

arp攻击的原理 arp在目前看来可以分为7中之多。1、arp欺骗（网关、pc）2、arp攻击3、arp残缺4、海量arp5、二代arp（假ip、假mac)因为二代的arp最难解决，现在我就分析一下二代arp的问题。现象 ARP出现了新变种，二代ARP攻击已经具有自动传播能力，已有的宏文件绑定方式已经被破，网络有面临新一轮的掉线和卡滞盗号的影响！原理二代ARP主要表现在病毒通过网络访问或是主机间的访问互相传播。由于病毒已经感染到电脑主机，可以轻而易举的清除掉客户机电脑上的ARP静态绑定（首先执行的是arp -d然后在执行的是arp -s ，此时绑定的是一个错误的MAC)伴随着绑定的取消，错误的网关IP和MAC的对应并可以顺利的写到客户机电脑，ARP的攻击又畅通无阻了。通过对arp原理的分析：arp攻击的一般解决办法如下 ：1）部分用户采用的“双/单项绑定”后，ARP攻击得到了一定的控制。面临问题双绑和单绑都需要在客户机上绑定。二代ARP攻击会清除电脑上的绑定，使得电脑静态绑定的方式无效。（2）部分用户采用一种叫作“循环绑定”的办法，就是每过一段“时间”客户端自动绑定一个“IP/MAC”。面临问题如果我们“循环绑定”的时间较长（比arp清除的时间长）就是说在“循环绑定”进行第二次绑定之前就被清除了，这样对arp的防范仍然无效。如果“循环绑定”的时间过短（比arp清除时间短）这块就会暂用更多的系统资源，这样就是“得不偿失”（3）部分用户采用一种叫作“arp防护”，就是网关每过一段时间按照一定的“频率”在内网发送正确网关“IP/MAC”面临问题如果发送的“频率”过快（每秒发送的ARP多）就会严重的消耗内网的资源（容易造成内网的堵塞），如果发送“频率”太慢（没有arp协议攻击发出来频率高）在arp防范上面没有丝毫的作用。最彻底的解决办法（4）arp是个“双头怪”要想彻底解决必须要“首尾兼顾”有两种方式可以实现第一 采用“看守式绑定”的方法，实时监控电脑ARP缓存，确保缓存内网关MAC和IP的正确对应。在arp缓存表里会有一个静态的绑定，如果受到arp的攻击，或只要有公网的请求时，这个静态的绑定又会自动的跳出，所以并不影响网络的正确的访问。这种方式是安全与网卡功能融合的一种表现，也叫作“终端抑制” 第二就是在网络接入架构上要有“安全和网络功能的融合”就是在接入网关做NAT的时候不是按照传统路由那样根据“MAC/IP”映射表来转发数据，而是根据他们在NAT表中的MAC来确定（这样就会是只要数据可以转发出去就一定可以回来）就算ARP大规模的爆发，arp表也混乱了但是并不会给我们的网络造成任何影响。（不看IP/MAC映射表）这种方法在现有控制ARP中也是最彻底的。也被称为是“免疫网络”的重要特征。
ARP协议工作原理
在任何时候，当主机或路由器有数据报要发送给另一个主机或路由器时，它必须有接收站的逻辑（IP）地址。但是IP数据报必须封装成帧才能通过物理网络。这就表示，发送站必须有接收站的物理地址。因此需要一个从逻辑地址到物理地址的映射。 如我们在前面讲过的，使用静态映射和动态映射都可以做到这点。逻辑地址和物理地址之间的关联可以静态的存储在一个表中，发送站可在表中查找出对应于逻辑地址的物理地址，但我们在前面已讨论过，这不是一个很好的解决方法。每当物理地址发生变化时，这个表就必须更新。频繁的在所有机器上对表进行更新是非常麻烦的任务。但这种映射可以做成为动态的，即发送站在需要时可以请求接收站宣布其物理地址。ARP就是为此目的而设计的。ARP将一个IP地址与其物理地址关连起来。在典型的物理网络上，如局域网，链路上的每一个设备通常是用写在NIC（网络接口卡）中的物理地址来标识。任何时候当主机或路由器需要找出另一个主机或路由器在此网络上的物理地址时，它就发送一个ARP查询分组。这个分组包括发送站的物理地址和IP地址，以及接收站的IP地址。因为发送站不知道接收站的物理地址，查询就在网络上广播。每一个在网络上的主机或路由器都接收和处理这个ARP查询分组，但只有目的接受者才识别其IP地址，并发回ARP响应分组。这个分组直接用单播发送给查询者，并使用接收到的查询分组中所用的物理地址。这里有一点要注意：每个ARP广播中都包含发送方的IP地址到物理地址的绑定；接收方在处理ARP分组之前，先更新它们缓存中的IP到物理地址的绑定信息。左边的系统（A）有一个分组要交付给IP地址为141.23.56.23的另一个系统（B）。系统A需要将分组传递给它的数据链路层进行实际的交付，但它不知道接收者的物理地址。它使用ARP的服务，请求ARP协议发送一个广播ARP请求分组，以查询IP地址为141.23.56.23的系统的物理地址。 在该物理网络上的每一个系统都接收到此分组，但只有系统B才回答。现在系统A就可以使用接收到的物理地址来发送所有的到此目的地的分组。

ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
ARP协议工作原理

ARP--地址解析协议，其实ARP包括两个协议，即ARP和RARP。前者是地址解析协议，即将物理地址转化为IP地址，这个是给电脑用的；后者是反地址解析协议，即将IP地址转化为物理地址，这个主要方便人来记忆的！ 这里面用到的原理主要还是数学上面的映射原理，即一个IP地址与一个物理地址一一对应，解析通过DNS服务器，层层查找地址，最后，找到该地址正确的位置！
ARP欺骗的攻击以其特有的灵活性和高成功率被入侵者所青眯，并且在内网中，这种方法被广泛应用，以至于ARp被称为局域网杀手。 知道网络上的两个节点之间要通信的话都必须遵循一个规则，这个规则是协议，比如最常见的Tcp/IP。其中TCp保证连接以及数据传送的可靠性，而IP则保证把数据包发送到指定位置，因此可以接受数据包的节点必须有个地址，在TCP/IP网络中这个地址就是IP地址，数据就是根据这个地址在网络上传送的。而数据包在到达了最基层的局域网或直接在局域网中传送的时候，寻找目的地不仅仅要依靠Ip地址来识别了。在局域网中，或者我们更精确地说在以太网中,网卡和双绞线组成了数据传送物理终点和传送介质，一个数据包要想到达某台计算机，它必须找到这台计算机的网卡。网卡也有一个地址的，我们称作MAC地址。每一个网卡在被生产出厂的时候都被分配给一个MAC地址，而理论上这个地址是唯一确定的。MAC地址是以-符号分割的六组两个十六进制数组合的一个字符串，如34-C9-08-AE-E9-21，这是MAC的标准式书写，以太网中就是基于MAC地址通信的。在TCP/IP网络中，IP地址是不可少的，遵循TCP/IP协议的软件在发送数据的时候指定地址都必须是一个IP地址，这就要求以太网具有把IP地址转换为MAC地下的能力，这样TCP/IP通信才能正常进行，ARP协议由些而生。ARP即地址解析协议，它负责把IP地址转换为相应的MAC地址。说是相应的，因为每个局域网的计算机在最初进行网络设置的时候，设置一个静态IP，操作系统就会把这个IP和网卡的MAC地址绑定在一起，而如果使用了DHCP服务器分配动态的IP，则在分配到IP的时候，这个IP也就和MAC地址绑定了，也就是形成了一种IP地址和MAC地址对应关系。 看大家最近受ARP攻击的板友不少，查了一些资料整理出来了一些关于ARP方面的知识，希望大家能了解ARP，随后还有一些，今天发上这点，随时整理随时加上，全面的了解ARP工作原理从根本上去解决它。

ARP协议概述 ARP协议和ICMP协议是常用的TCP/IP底层协议。在对网络故障进行诊断的时候，它们也是最常用的协议。ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。2 ARP工作原理2.1 ARP工作过程当一个基于TCP/IP的应用程序需要从一台主机发送数据给另一台主机时，它把信息分割并封装成包，附上目的主机的IP地址。然后，寻找IP地址到实际MAC地址的映射，这需要发送ARP广播消息。当ARP找到了目的主机MAC地址后，就可以形成待发送帧的完整以太网帧头。最后，协议栈将IP包封装到以太网帧中进行传送。如图1所示，描述了ARP广播过程。图1 ARP广播在图1中，当主机A要和主机B通信（如主机A Ping主机B）时。主机A会先检查其ARP缓存内是否有主机B的MAC地址。如果没有，主机A会发送一个ARP请求广播包，此包内包含着其欲与之通信的主机的IP地址，也就是主机B的IP地址。当主机B收到此广播后，会将自己的MAC地址利用ARP响应包传给主机A，并更新自己的ARP缓存，也就是同时将主机A的IP地址/MAC地址对保存起来，以供后面使用。主机A在得到主机B的MAC地址后，就可以与主机B通信了。同时，主机A也将主机B的IP地址/MAC地址对保存在自己的ARP缓存内。参考资料：http://www.cpcwedu.com/Document/ciscostudy/15231825.htm我们知道，当我们在浏览器里面输入网址时，DNS服务器会自动把它解析为IP地址，浏览器实际上查找的是IP地址而不是网址。那么IP地址是如何转换为第二层物理地址（即MAC地址）的呢？在局域网中，这是通过ARP协议来完成的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。所以网管们应深入理解ARP协议。一、什么是ARP协议ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。二、ARP协议的工作原理在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如附表所示。附表我们以主机A（192.168.1.5）向主机B（192.168.1.1）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.1.1的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.1.1的MAC地址是00-aa-00-62-c6-09”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。三、如何查看ARP缓存表ARP缓存表是可以查看的，也可以添加和修改。在命令提示符下，输入“arp -a”就可以查看ARP缓存表中的内容了，如附图所示。用“arp -d”命令可以删除ARP表中某一行的内容；用“arp -s”可以手动在ARP表中指定IP地址与MAC地址的对应。四、ARP欺骗 其实，此起彼伏的瞬间掉线或大面积的断网大都是ARP欺骗在作怪。ARP欺骗攻击已经成了破坏网吧经营的罪魁祸首，是网吧老板和网管员的心腹大患。

每台主机都会在自己的ARP缓冲区中建立一个 ARP列表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该 IP地址对应的MAC地址。如果有，就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中。如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址。源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。扩展资料arp协议的功能：地址解析协议由互联网工程任务组（IETF）在1982年11月发布的RFC 826中描述制定。地址解析协议是IPv4中必不可少的协议，而IPv4是使用较为广泛的互联网协议版本（IPv6仍处在部署的初期）。OSI模型把网络工作分为七层，IP地址在OSI模型的第三层，MAC地址在第二层，彼此不直接打交道。在通过以太网发送IP数据包时，需要先封装第三层、第二层的报头，但由于发送时只知道目标IP地址，不知道其MAC地址，又不能跨第二、三层，所以需要使用地址解析协议。使用地址解析协议，可根据网络层IP数据包包头中的IP地址信息解析出目标硬件地址（MAC地址）信息，以保证通信的顺利进行。参考资料ARP-百度百科
首先，每台主机都会在自己的ARP缓冲区中建立一个 ARP列表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该 IP地址对应的MAC地址，如果有，就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。 例如：A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AAB的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB 根据上面的所讲的原理，我们简单说明这个过程：A要和B通讯，A就需要知道B的以太网地址，于是A发送一个ARP请求广播（谁是192.168.10.2 ，请告诉192.168.10.1），当B收到该广播，就检查自己，结果发现和自己的一致，然后就向A发送一个ARP单播应答（192.168.10.2 在BB-BB-BB-BB-BB-BB）。
在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如附表所示。 附表我们以主机A（192.168.1.5）向主机B（192.168.1.1）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.1.1的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.1.1的MAC地址是00-aa-00-62-c6-09”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。 ARP攻击主要是存在于局域网网络中，局域网中若有一个人感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。
ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
ARP协议工作原理