上周有一家企业说他们的网络很不稳定，时好时坏，经常断网，经过多天的排查证明是受到了arp攻击，但因为这家企业的分公司比较多，而且做的是mpls的多点专线vpn，并且内部200多台机器也没有合理的划分vlan，使排查的工作升级，我们只好从局域网开始，先把连接外网的线给断开，所有机器开始ping网关，没有发现什么异常，这样就排除了是内部在做怪了，然后把分公司的vpn一个个开启，到tw和cambodia时发现网络异常的不同，用sniffer来分析分公司发过来的数据包，发现有ip想访问内部的第一个网段，最后为了确认是这两个点在做怪我们在cisco 3750 交换机上做了acl访问控制内部的几台test机，发现掉包情况，终于把你给挖出来了，现在我们就开始找分公司里的罪魁祸首，因为时间的关系我们下次在来分析！！！！呵
这里我把网上找的一些关于arp的原理和介绍放上来，帮助大家更好的理解arp的工作原理，这样才能更快和更好的解决此类问题，希望大家多多学习，多多交流
ARP协议是用来提供一台主机通过广播一个ARP请求来获取相同网段中另外一台主机或者网
关的MAC的协议。以相同网段中的两台主机A、B来举例，其ARP协议运行的主要交互机制如下：
1 如果A需要向B发起通信，A首先会在自己的ARP缓存表项中查看有无B的ARP表项。如果
没有，则进行下面的步骤：
2 A在局域网上广播一个ARP请求，查询B的IP地址所对应的MAC地址;
3 本局域网上的所有主机都会收到该ARP请求;
4 所有收到ARP请求的主机都学习A所对应的ARP表项;如果B收到该请求，则发送一个ARP
应答给A,告知A自己的MAC地址;
5 主机A收到B的ARP应答后,会在自己的 ARP缓存中写入主机B的ARP表项.
如上所述，利用ARP协议，可以实现相同网段内的主机之间正常通信或者通过网关与外网进
行通信。但由于ARP协议是基于网络中的所有主机或者网关都为可信任的前提制定。导致在ARP
协议中没有认证的机制，从而导致针对ARP协议的欺骗攻击非常容易
目前ARP攻击中有如下三种类型
1 网关仿冒 和 欺骗网关
ARP病毒通过发送错误的网关MAC对应关系给其他受害者，导致其他终端用户不能正常访问
网关。
攻击者发送错误的终端用户的IP＋MAC的对应关系给网关，导致网关无法和合法终端用户正
常通信
这两种攻击形式在校园网中比较常见
2 欺骗终端用户
这种攻击类型，攻击者发送错误的终端用户/服务器的IP＋MAC的对应关系给受害的终端用
户，导致同网段内两个终端用户之间无法正常通信
3 ARP泛洪攻击
这种攻击类型，攻击者伪造大量不同ARP报文在同网段内进行广播，导致网关ARP表项被占
满，合法用户的ARP表项无法正常学习，导致合法用户无法正常访问外网。主要是一种对局域网
资源消耗的攻击手段
