ARP协议格式、ARP运行机制入门学习

http://baike.baidu.com/view/149421.htm?fromtitle=ARP%E5%8D%8F%E8%AE%AE&fromid=1742212&type=syn
http://blog.csdn.net/dog250/article/details/7251689
http://www.cnitblog.com/flutist1225/articles/19996.html

1. ARP协议简介
2. ARP协议格式
3. ARP运行机制
4. 保证ARP工作正常的策略

1. 主机将ARP请求广播到网络上的所有主机，并接收返回消息，确定目标IP地址的物理地址
2. 将IP地址和硬件地址存入本机ARP缓存中
3. 下次请求时直接查询ARP缓存

1. ARP是用于将网络层的IP解析成数据链路层的MAC地址的，ARP协议工作在数据链路层，我们在学习它的协议格式的时候需要有这种层次感
2. ARP协议工作在数据链路层，所以它没有端口的概念，即ARP不是像DNS、DHCP那种C/S模式，它就是一个单纯的数据链路层的广播

1. 以太网首部
    1.1 以太网目的MAC地址:
    六个字节的硬件地址地址。
        1) ARP请求解析包
        因为客户端这个时候并不知道目标IP的MAC地址，所以"ARP请求解析包"一定是一个数据链路层广播数据包，所以这个字段一定是一个FF:FF:FF:FF:FF:FF(广播MAC地址)
        2) ARP解析回应包
        硬件地址，包含发送方的MAC地址，当广播发出时，目标主机的网络协议栈接收下这个数据包，发现是一个ARP解析包，并且target ip是自己，就对这个数据包的发送方进行回应。
    1.2 以太网源地址: 发出给ARP包的主机地址。格式与目的地址相同 。
    1.3 以太帧类型: 用来表明上层协议的类型，在ARP协议中这个字段的值为: 0806 。 
    1.4 帧检查序列: 用于对数据帧中数据的差错检查的(注意是检测，不是纠错) 
2. ARP数据包
    2.1 ARP数据包头部
        2.1.1 硬件类型: 指明了发送方想知道的硬件接口类型，以太网的值为1
        2.1.2 协议类型: 指明了发送方提供的高层协议类型，即哪个协议想要使用ARP解析服务，IP为0800(16进制)，一般情况下都是IP协议在使用ARP服务，
故我们通过抓包看到的大都是0800
        2.1.3 硬件地址长度: 指的是MAC地址的长度，长度为6 单位是字节 。
        2.1.4 协议长度: 如果是IP4则这个值为4,单位是字节 。
        2.1.5 操作类型(op): 用来表示这个报文的类型
            1) ARP请求为1
            2) ARP响应为2
            3) RARP请求为3
            4) RARP响应为4；
    2.2 ARP数据字段
        2.2.1 发送方硬件地址: 发送方的MAC地址
        2.2.2 发送方IP地址: 发送方的IP地址
        2.2.3 目标硬件地址: 
            1) ARP请求解析包
            00:00:00:00:00:00，因为请求方这个时候并不知道目标主机的MAC地址，所以填全0
            2) ARP解析回应包
            请求方的MAC地址，这个目标主机返回给请求方的解析回应包
        2.2.4 目标IP地址: 目的主机的IP地址

arp --help
-a                       查看缓存中的所有项目
-s, --set                设置一个新的ARP项目、不带任何参数表示查看静态MAC地址
-d, --delete             人工删除一个静态项目
-v, --verbose            be verbose
-n, --numeric            don't resolve names
-i, --device             specify network interface (e.g. eth0)
-D, --use-device         read <hwaddr> from given device
-A, -p, --protocol       specify protocol family
-f, --file               read new entries from file or from /etc/ethers

1. 设置静态的MAC-->IP对应表，不要让本机刷新设定好的转换表，这是一个很有效的方法
    1) 网关
    将所有的客户端的MAC以及对应IP进行静态绑定，防止攻击者假冒客户端
    2) 普通客户端
    绑定网关MAC地址，防止攻击者假冒网关
2. 停止使用ARP，使用静态ARP缓存表，将ARP做为永久条目保存在对应表中。 
3. 管理员定期轮询当前网络、主机健康情况，检查主机上的ARP缓存。  

1. ARPon
http://arpon.sourceforge.net/download.html

2. ARP Wath
http://www.linuxcommand.org/man_pages/arpwatch8.html

3. XARP
http://www.securityfocus.com/tools/6908