计算机网络基础ARP与ICMP第09章ARP与ICMP.ppt

第九章 ARP与ICMP 9.1 ARP简介 9.2 ARP工具程序 9.3 ICMP简介 9.4 ICMP工具程序 先看一个网络病毒： [故障现象]? 机器以前可正常上网的，突然出现可认证，不能上网的现象（无法ping通网关），重启机器或在MSDOS窗口下运行命令ARP -d后，又可恢复上网一段时间。 ARP 的功能：利用网络层地址(IP地址），来取得对应的链路层地址(MAC地址)。 为什么需要MAC地址？封装帧时需要 9.1.1 ARP 的运作方式 ARP的整个运作过程由ARP请求和ARP应答两种信息包组成。 ARP请求：关键是以广播形式发送 IP地址为192.168.0.10的计算机MAC是多少啊？ ARP应答：只有IP地址符合的计算机会应答 我的MAC为0080c81c2996,以单播形式 ARP的解析范围: ARP请求信息包为以太网广播信息包，即ARP请求无法通过路由器传送到其他网络。因此ARP仅能解析同一网络内的MAC地址，无法解析其他网络的MAC地址。 ARP是在OSI中的哪一层？ 9.1.2 ARP与IP路由 问题：远端的计算机的MAC不能听到广播，怎样才能知道它的MAC? 路由器代为应答，是路由器的MAC！ 有了路由器后的MAC如何获得？ ？？？？？？？？？？ ARP的改进措施 1 为什么需要改进？太多的广播了！ 1.高速缓存技术（caching） 在每台使用ARP的主机中,都保留一个专用的高速缓存区(cache),用于保存已知的ARP表项.这个表项来源于先前的应答结果.再发送信息前,就可以先查询cache中的ARP表.不必每发送IP数据报都发ARP请求.由此减少网络流量,提高效率. ARP高速缓存的静态记录：用户以手动的方式将某设备的IP/MAC地址加入ARP高速缓存中。 为了保证主机中ARP表的正确性,ARP表必须经常更新 (IP和MAC地址对应关系变化时) .为此ARP表中每一个ARP表项都被分配了一个计时器,一旦超时,主机就会自动删除该项,以保证ARP表的有效性. ARP的改进措施 2 2.其他改进技术 主机在发送ARP请求时,信息包中包含了自己的IP和MAC地址关系 通过广播发送的ARP请求,网络中所有的主机都会收到源主机的IP和MAC地址关系 网络中的主机在启动时,主动广播自己的IP和MAC地址关系 9.2 ARP工具程序 arp –a：显示 arp –d ：删除 arp –s：添加静态记录 本章开始网络病毒ARP的原理： [故障现象] ?机器以前可正常上网的，突然出现可认证，不能上网的现象（无法ping通网关），重启机器或在MSDOS窗口下运行命令ARP -d后，又可恢复上网一段时间。 ?[故障原因] 这是APR病毒欺骗攻击造成的。 ????引起问题的原因一般是由传奇外挂携带的ARP木马攻击。当在局域网内使用上述外挂时，外挂携带的病毒会将该机器的MAC地址映射到网关的IP地址上，向局域网内大量发送ARP包，从而致使同一网段地址内的其它机器误将其作为网关，这就是为什么掉线时内网是互通的，计算机却不能上网的原因。 有关ARP网络病毒： [临时处理对策]　　 1.在能上网时，进入MS-DOS窗口，输入命令：arp –a 查看网关IP对应的正确MAC地址，将其记录下来。????? 注：如果已经不能上网，则先运行一次命令arp –d将arp缓存中的内容删空，计算机可暂时恢复上网（攻击如果不停止的话），一旦能上网就立即将网络断掉（禁用网卡或拔掉网线），再运行arp –a。 有关ARP网络病毒： 2.如果已经有网关的正确MAC地址，在不能上网时，手工将网关IP和正确MAC绑定，可确保计算机不再被攻击影响。手工绑定可在MS-DOS窗口下运行以下命令： arp –s 网关IP 网关MAC ????例如：假设计算机所处网段的网关为218.197.192.254，本机地址为218.197.192.1在计算机上运行arp –a后输出如下： ????C:\Documents and Settingsarp -a????Interface: 218.197.192.1 --- 0x2????Internet Address Physical Address Type????218.197.192.254 00-01-02-03-04-05 dynamic 其中00-01-02-03-04-05就是网关218.197.192.254对应的MAC地址，类型是动态（dynamic）的，因此是可被改变。??? 被攻击后，再用该命令查看，就会发现该MAC已经被替换成攻击机器的MAC，如果大家希望能找出攻击机器，彻底根除攻击，可以在此时将该MAC记录下来，为以后查找做准备。 ????手工绑