自去年5月份开始出现的校内局域网频繁掉线等问题，对正常的教育教学带来了极大的不便，可以说是谈“掉”色变，造成这种现象的情况有很多，但目前最常见的是ARP了。

本文介绍了ARP的原理以及由此引发的网络安全问题，并且结合实际情况，提出在校园网中实施多层次的防范方法，以解决因ARP而引发的网络安全问题，最后介绍了一些实用性较强且操作简单的检测和抵御的有效方法。

您是否遇到局域网内频繁性区域或整体掉线，重启计算机或网络设备后恢复正常？您的网速是否时快时慢，极其不稳定，但单机进行光纤数据测试时一切正常？您是否时常听到教职工的网上银行、游戏及QQ账号频繁丢失的消息？……

这些问题的出现有很大一部分要归功于ARP，我校局域网自去年5月份开始ARP频频出现，目前校园网内已发现的“ARP”系列病毒已经有了几十个变种。据检测数据显示，APR从未停止过，为此有效的防范ARP形式的网络已成为确保网络畅通必要条件。

一、ARP的基本知识

1、什么是ARP？

ARP协议是“AddressResolutionProtocol”(地址解析协议)的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。

所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以通信的顺利进行。

在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址(即MAC地址)的，ARP协议对网络安全具有重要的意义。

2、ARP协议的工作原理

正常情况下，每台主机都会在自己的ARP缓冲区中建立一个ARP列表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址，如果有﹐就直接将数据包发送到这个MAC地址;

如果没有，就向本地网段发起一个ARP请求的包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。

如果不相同就忽略此数据包;如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个ARP响应数据包，告诉对方自己是它需要查找的MAC地址;源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。

如图：

2.在局域网发出包“192.168.1.1的MAC地址是什么？”

从可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP。更何况ARP协议是工作在更低于IP协议的协议层，因此它的危害就更加隐蔽。

二、ARP的原理

192.168.1.1是什么ARP类型的最早用于盗取密码之用，网内中毒电脑可以伪装成由器，盗取用户的密码，后来发展成内藏于软件，其他局域网用户正常的网络通信，下面我们简要阐述ARP的原理：假设这样一个网络，一个交换机连接了3台机器，依次是计算机A，我用的联通宽带，用FAST的由器连不上网络是什么原因。B，C

第二步：正常情况下在A计算机上运行ARP-A查询ARP缓存表应该出现如下信息。

第三步：在计算机B上运行ARP程序，来发送ARP包。

第四步：完毕我们在A计算机上运行ARP-A来查询ARP缓存信息。你会发现原来正确的信息现在已经出现了错误。

例子中在计算机A上的关于计算机C的MAC地址已经错误了，所以即使以后从A计算机访问C计算机这个192.168.1.3这个地址也会被ARP协议错误的解析成MAC地址为DD-DD-DD-DD-DD-DD的。