ARP病毒作用原理

　　ARP欺骗病毒在过去一段时间以及现在和将来都会是导致网吧网络极不稳定的“元凶”，此类病毒的作用原理就是利用ARP缓存表的工作原理及其缺陷来实现的，在网络中电脑与电脑之间的通信是通过MAC地址来进行，网络中的其中一台电脑要与其他电脑进行通信，它会先把对方的IP地址转换成目标电脑相应的MAC地址，这个转换过程一般是先从自己的ARP缓存表中查找，如果自己的ARP缓存表中没有，则向网络发送广播来获取。但是ARP缓存表存在不足的地方就是ARP缓存表具有一定的滞后性和易信任性，网络中任何一台电脑发出的ARP广播，收到的电脑都会在自己的ARP缓存表上建立IP与MAC的对应关系，而不管其正确与否。而ARP病毒的工作原理就是利用这一点，向网络中发送ARP广播，把自己的MAC地址与网关的IP地址对应起来，这样网络中其他机器就把中毒的机器当作是网关，从而导致无法正常上网。

　　网吧的预防

　　作为网吧这样一个小规模的局域网，只要网络中的一台感染ARP欺骗病毒，就可能导致网内所有机器无法正常地上网，为此，作为网管，必须做好预防措施，除了装好杀毒软件外，还要装上防ARP欺骗软件，毕竟很多杀毒软件都没有防ARP欺骗的功能，下面笔者来介绍一款功能强大又有效的防ARP攻击的软件――ARP防火墙，也就是原来的彩影网盾，现在经过版本升级后，功能比以前强多了，不现像以前那么单调了。网吧版下载地址为：http://download.antiarp.com/tmp/FreeNetBarAntiARP3.1.1.zip，把下载回来后解压出来有两个文件夹，一个是服务器端，另一个是客户端，在网吧服务器上安装服务器端，客户机上安装客户端，此版本的ARP防火墙为试用版，有15天的试用期。

　　1、服务器端

　　在服务器上安装完服务器端，首次运行会弹出如图1所示的“客户端IP地址管理”窗口，在这里把客户端的IP地址全加进去，“请输入局域网IP范围”中输入客户端的IP范围，再点击“添加网段”按钮这样可以批量添加客户端IP，也可以点击“新增IP”然后进行逐

　　
　　图1

　　个输入。确定后，弹出“确认启用客户端状态检测功能吗？”，点击“是”按钮开始检测及每次启动该软件都会自动检测客户端状态，通过检测可以确认客户机处于“在线”或“离线”状态及是否已经处于保护状态，对于处于“在线”并且“连接正常”的客户机，可以通过服务器端对其进行发送消息 、启动保护、启动客户端软件保护状态、停止保护、修改配置、进程管理、关闭计算机、重启计算机等操作，其中修改配置这个功能也就是相当于工具栏上面的“全局管理”项要正式版才能使用。这一服务器端的设置其余全部保持默认就行了。

　　2、客户端

　　在网吧各客户机上安装客户端，安装完客户端后第一次运行客户端软件，会弹出“ARP防火墙配置”的窗口要求你设置服务器端的IP和快捷键及软件保护的密码，建议密码最好不要留空，以防止防火墙被恶意设置、关闭及卸载，设置完成后点“确定”按钮，软件界面自动隐藏并连接服务器端。双击任务栏上的客户端图标，即可打开客户端的软件界面（如图2），

　　
　　图2

　　整个界面主要显示了本机与网络的各种传输数据的统计。接下去就是对软件进行设置了，点击操作界面上的“设置”按钮（如果之前已经设置了密码的，会弹出提示要求输入密码），进入软件“配置”窗口，“一般选项”这里除了“分析接收到的ARP数据包”外没什么值得特别注意的，把这一项勾选上，以后软件就会对接收到的所有ARP数据包进行详细的分析，分析ARP数据包主要由哪些机器产生，以利于找出局域网内的中毒机器。这一项设置完了再点选“主动防御和追踪”选项卡（如图3），“主动防御”有三种状态，分别为：“停用”、

　　
　　图3

　　“警戒”、“始终启用”，建议选中“警戒”，这样只有在当本机正受到ARP攻击时，软件才会开始向网关发送本机正确的MAC地址及获取网关的正确信息，以保证网络不会中断，网络的负荷也得到很大程度的降低。“追踪攻击者IP(MAC扫描)”这项选择“主动收集－手动开始”同样也是为了减轻网络的负荷。“网关IP/MAC”这项点选“手动设置”这样可以避免自动获取导致的获取到虚假MAC的情况出现。接下来点选“防御选项”选项卡，这里为了安全起见，“ARP抑制”点选“安全模式”，剩下的选项全部保持默认状态（图4），然后保存就行了。至此客户端的配置就完成了，有了此软件，就不用再怕ARP病毒的攻击了。

　　
　　图4