1.linux如何查找arp攻击源
2.linux网络协议：ARP地址解析协议原理
3.表Linux刷新ARP表快速安全实现网络连接linux刷新arp
4.linuxarp命令linuxarp
5.通过源码理解rarp协议（基于linux1.2.13）
6.Linux实现ARP缓存老化时间原理问题深入解析

linux如何查找arp攻击源

       如果说防止arp攻击的源码源头就是找到arp的攻击源。我想很多人都在查找arp的源码攻击源。这个攻击源非常的源码重要。至于Linux的源码查询方法已经总结在了常见电脑黑客攻击类型与预防

       方法

       中。 linux如何查找arp攻击源呢您可以登录裕祥安全网。源码

       追踪网络攻击就是源码webservice 源码找到事件发生的源头。它有两个方面意义:

       一是源码指发现IP地址、MAC地址或是源码认证的主机名;

       二是指确定攻击者的身份。网络攻击者在实施攻击之时或之后，源码必然会留下一些蛛丝马迹，源码如登录的源码纪录，文件权限的源码改变等虚拟证据，如何正确处理虚拟证据是源码追踪网络攻击的最大挑战。

       在追踪网络攻击中另一需要考虑的源码问题是:IP地址是一个虚拟地址而不是一个物理地址，IP地址很容易被伪造，源码大部分网络攻击者采用IP地址欺骗技术。这样追踪到的攻击源是不正确的。使得以IP地址为基础去发现攻击者变得更加困难。因此，必须采用一些方法，识破攻击者的欺骗，找到攻击源的真正IP地址。

       使用netstat命令可以获得所有联接被测主机的网络用户的IP地址。Windows系列、Unix系列、Linux等常用网络操作系统都可以使用“netstat”命令。 使用“netstat”命令的韩国雪花源码缺点是只能显示当前的连接，如果使用“netstat”命令时攻击者没有联接，则无法发现攻击者的踪迹。为此，可以使用Scheduler建立一个日程安排，安排系统每隔一定的时间使用一次“netstat”命令，并使用netstattextfile格式把每次检查时得到的数据写入一个文本文件中，以便需要追踪网络攻击时使用。

       Unix和Linux的日志文件较详细的记录了用户的各种活动，如登录的ID的用户名、用户IP地址、端口号、登录和退出时间、每个ID最近一次登录时间、登录的终端、执行的命令，用户ID的账号信息等。通过这些信息可以提供ttyname(终端号)和源地址，是追踪网络攻击的最重要的数据。

       裕祥安全网的网络安全小知识

       回答了linux如何查找arp攻击源的问题。

linux网络协议：ARP地址解析协议原理

       Linux网络协议：ARP地址解析协议原理详解

       在Linux网络通信中，ARP（Address Resolution Protocol）协议负责将IP地址与物理地址（MAC地址）之间进行动态映射，对于IPv4尤其重要，而IPv6则通过邻居发现协议来实现地址解析。ARP协议的核心是将源主机的IP地址转换为目标主机的MAC地址，以支持数据传输。

       当源主机A需要发送数据给目标主机B时，流光幻影源码首先会广播ARP请求，包含目标主机的IP地址。收到请求的主机，如目标主机B，会回应一个包含自己MAC地址的ARP应答。这个过程遵循以下步骤：

       源主机发送广播ARP请求，广播地址为全1，请求目标主机的MAC地址。

       目标主机B收到请求后发送ARP应答，告知其MAC地址。

       源主机A收到应答后，更新其ARP缓存，将目标主机的IP和MAC地址对应起来。

       如果源主机未收到应答，可能是因为网络问题或目标主机未响应，导致数据包传输失败。

       ARP缓存通过生存时间机制保持高效，每个条目通常有分钟的有效期。使用arp命令可以查看和管理ARP表，理解其C、M、P标志含义。ARP帧作为以太帧的一部分，包含目标硬件类型、协议类型等信息。

       在局域网中，反诈源码当主机A需要获取IP地址为B的主机的MAC地址时，会发送ARP请求，通过广播或ARP代理（路由器）进行跨网络通信。免费ARP则用于检测地址冲突和更新地址映射，当主机更换网卡时，这个功能尤为重要。

表Linux刷新ARP表快速安全实现网络连接linux刷新arp

       以下文章仅用于学习借鉴，不可直接用于其他用途。

       Linux刷新ARP表：快速、安全实现网络连接

       Linux是一款可靠、可信赖的操作系统，有着良好的网络连接能力，对于一些网络问题，如何实现快速、安全的网络连接，刷新ARP表就可达成此目的。本文将分享Linux刷新ARP表的相关方法、步骤和注意事项，以保证网络连接及时有效地实现。

       ARP（Address Resolution Protocol）即IP到物理地址的解析协议，是 Linux 系统的一个指令，用于将IP地址（位）转换为 MAC 地址（位）。ARP表用于保存本机设备的IP地址和MAC地址信息，是决定网络包有效路由的关键一步，用于默认路由决策表等，也就是资源码无效说刷新ARP表就是在保证网络有效决策的关键环节。

       Linux刷新ARP表的具体步骤如下：

       1. 向ARP表发送请求：执行“arp -a”指令，此指令可请求ARU表中记录的所有IP——MAC地址对应关系，并显示出来。

       2. 使用arp指令：使用arp -a的参数，可将ARP表中的指定IP地址的MAC地址更新为新的MAC地址。

       3. 重置ARP表：执行“arp -d”指令，此指令可清空ARP表中的缓存记录，然后重新发送新的网络请求，以重新建立ARP表。

       4. 重启网络服务：重启本机上的网络服务，如有必要，可使用“/etc/init.d/network restart”指令重启网络服务，以完成彻底的ARP表刷新。

       由于ARP表中的内容可能发生变化，所以Linux用户有时候需要手动刷新ARP表，以便建立最新的网路连接。因此要正确、安全地刷新ARP表，还需要注意以下几点：

       1. 任何arp指令均应在登录root账号后执行，以保证指令正确、有效地执行；

       2. 任何arp指令执行过后，应先进行简单的检查，以确保网络正常工作；

       3. 重启网络服务时，需检查网络是否完全正常，以免网络出现不可预知的错误。

       由于网络的变化多端，若要保证Linux系统的网络连接能够正常运转，就需要及时刷新ARP表。本文就Linux刷新ARP表的步骤和相关注意事项，给出了以上推荐，希望对读者有所帮助。

linuxarp命令linuxarp

       å¦‚何在我的linux查看我的arp表格？

       LinuxArp命令显示和修改地址解析协议(ARP)使用的“IP到物理”地址转换表。

       ARP-sinet_addreth_addrARP-dinet_addrARP-a-a通过询问当前协议数据，显示当前ARP项。

       å¦‚果指定inet_addr，则只显示指定计算机的IP地址和物理地址。

       å¦‚果不止一个网络接口使用ARP，则显示每个ARP表的项。-g与-a相同。

       -v在详细模式下显示当前ARP项。所有无效项和环回接口上的项都将显示。

       inet_addr指定Internet地址(IP地址)。

       -Nif_addr显示if_addr指定的网络接口的ARP项。

       -d删除inet_addr指定的主机。

       inet_addr可以是通配符*，以删除所有主机。-s添加主机并且将Internet地址inet_addr与物理地址eth_addr相关联。

       ç‰©ç†åœ°å€æ˜¯ç”¨è¿žå­—符分隔的6个十六进制字节。该项是永久的。

       eth_addr指定物理地址。

       if_addr如果存在，此项指定地址转换表应修改的接口的Internet地址。如果不存在，则使用第一个适用的接口。

       ç¤ºä¾‹:添加静态项。

       è¿™ä¸ªå¾ˆæœ‰ç”¨ï¼Œç‰¹åˆ«æ˜¯å±€åŸŸç½‘中中了arp病毒以后#arp-s...:::6F::D2#arp-a....显示ARP表。但是arp-s设置的静态项在用户登出之后或重起之后会失效，如果想要任何时候都不失效，可以将ip和mac的对应关系写入arp命令默认的配置文件/etc/ethers中例如：引用root@ubuntu:/#vi/etc/ethers...::D9::BF:写入之后执行下面的命令就好了引用arp-f/etc/ethers为保证重起之后绑定仍然有效，需要把上述命令写入/etc/ethersARP(AddressResolutionProtocol)，或称地址解析协议。

       æœ¬åœ°æœºå‘某个IP地址--目标机IP地址发送数据时，先查找本地的ARP表，如果在ARP表中找到目标机IP地址的ARP表项，(网络协议)将把目标机IP地址对应的MAC地址放到MAC包的目的MAC地址字段直接发送出去；如果在ARP表没有找到目标机IP地址的ARP表项，则向局域网发送广播ARP包(目的MAC地址字段==FF:FF:FF:FF:FF:FF)，目标机将向本地机回复ARP包(包含目标机的MAC地址)

       linux防火墙发展史？

       1.认识防火墙

       ä»Žé€»è¾‘上讲防火墙可以分为主机防火墙和网络防护墙。

       ä¸»æœºé˜²ç«å¢™ï¼šé’ˆå¯¹ä¸ªåˆ«ä¸»æœºå¯¹å‡ºç«™å…¥ç«™çš„数据包进行过滤。（操作对象为个体）

       ç½‘络防火墙：处于网络边缘，针对网络入口进行防护。（操作对象为整体）

       ä»Žç‰©ç†ä¸Šè®²é˜²ç«å¢™å¯ä»¥åˆ†ä¸ºç¡¬ä»¶é˜²ç«å¢™å’Œè½¯ä»¶é˜²ç«å¢™ã€‚

       ç¡¬ä»¶é˜²ç«å¢™ï¼šé€šè¿‡ç¡¬ä»¶å±‚面实现防火墙的功能，性能高，成本高。

       è½¯ä»¶é˜²ç«å¢™ï¼šé€šè¿‡åº”用软件实现防火墙的功能，性能低，成本低。

       2.系统防火墙发展过程

       é˜²ç«å¢™çš„发展史就是从墙到链再到表，也是从简单到复杂的过程。

       é˜²ç«å¢™å·¥å…·å˜åŒ–如下：

       ipfirewall--->ipchains--->iptables-->nftables(正在推广)

       Linux2.0版内核中：包过滤机制为ipfw，管理工具是ipfwadm。

       Linux2.2版内核中：包过滤机制为ipchain，管理工具是ipchains。

       Linux2.4，2.6,3.0+版内核中：包过滤机制为netfilter，管理工具是iptables。

       Linux3.1（3.+）版内核中：包过滤机制为netfilter，中间采取daemon动态管理防火墙，管理工具是firewalld。

       #目前低版本的firewalld通过调用iptables(command)，它可以支持老的iptables规则（在firewalld里面叫做直接规则），

       #同时firewalld兼顾了iptables,ebtables,ip6tables的功能。

       3.iptables和nftables

       nftables

       nftables诞生于年，年底合并到Linux内核，从Linux3.起开始作为iptables的替代品提供给用户。

       å®ƒæ˜¯æ–°çš„数据包分类框架，新的linux防火墙管理程序，旨在替代现存的{ ip,ip6,arp,eb}_tables，它的用户空间管理工具是nft。

       ç”±äºŽiptables的一些缺陷，目前正在慢慢过渡用nftables替换iptables，同时由于这个新的框架的兼容性，

       æ‰€ä»¥nftables也支持在这个框架上运行直接iptables这个用户空间的管理工具。

       nftables实现了一组被称为表达式的指令，可通过在寄存器中储存和加载来交换数据。

       ä¹Ÿå°±æ˜¯è¯´ï¼Œnftables的核心可视为一个虚拟机，nftables的前端工具nft可以利用内核提供的表达式去模拟旧的iptables匹配，

       ç»´æŒå…¼å®¹æ€§çš„同时获得更大的灵活性。

       è€Œæœªæ¥æœ€æ–°çš„firewalld（0.8.0）默认使用将使用nftables。详情可以看www.firewalld.org

       iptables、nftables和firewalld之间的区别与联系

       firewalld同时支持iptables和nftables，未来最新版本(0.8.0)默认将使用nftables。

       ç®€å•çš„说firewalld是基于nftfilter防火墙的用户界面工具。而iptables和nftables是命令行工具。

       firewalld引入区域的概念，可以动态配置，让防火墙配置及使用变得简便。

       å‡†ç¡®çš„说：iptables(command)的最底层是netfilter，它的用户空间管理工具是iptables

       nftables(command)是iptables(command)的一个替代品并兼容iptables(command)，最底层依然是netfilter，它的用户空间管理工具是nft，

       åŒæ—¶æœªæ¥firewalld最新版（0.8.0）也将默认支持nftables(command)。t) == 1 //n-used可能会因为“本地确认”机制而向前推进

           (state == NUD_FAILED ||time_after(now, n-used + n-parms-gc_staletime))) {

           *np = n-next;

           n-dead = 1;

           write_unlock(n-lock);

           neigh_release(n);

           continue;

           }

           if (atomic_read(n-refcnt) == 1 //n-used可能会因为“本地确认”机制而向前推进

           (state == NUD_FAILED ||time_after(now, n-used + n-parms-gc_staletime))) {

           *np = n-next;

           n-dead = 1;

           write_unlock(n-lock);

           neigh_release(n);

           continue;

           }

       如果在实验中，你的处于stale状态的表项没有被及时删除，那么试着执行一下下面的命令：

       [plain] view plaincopyprint?ip route flush cache

       ip route flush cache然后再看看ip neigh ls all的结果，注意，不要指望马上会被删除，因为此时垃圾回收定时器还没有到期呢...但是我敢保证，不长的时间之后，该缓存表项将被删除。

五.第一个问题的解决

       在启用keepalived进行基于vrrp热备份的群组上，很多同学认为根本不需要在进入master状态时重新绑定自己的MAC地址和虚拟IP地址，然而这是根本错误的，如果说没有出现什么问题，那也是侥幸，因为各个路由器上默认配置的arp超时时间一般很短，然而我们不能依赖这种配置。请看下面的图示：

       如果发生了切换，假设路由器上的arp缓存超时时间为1小时，那么在将近一小时内，单向数据将无法通信(假设群组中的主机不会发送数据通过路由器，排出“本地确认”，毕竟我不知道路由器是不是在运行Linux)，路由器上的数据将持续不断的法往原来的master，然而原始的matser已经不再持有虚拟IP地址。

       因此，为了使得数据行为不再依赖路由器的配置，必须在vrrp协议下切换到master时手动绑定虚拟IP地址和自己的MAC地址，在Linux上使用方便的arping则是：

       [plain] view plaincopyprint?arping -i ethX -S 1.1.1.1 -B -c 1

       arping -i ethX -S 1.1.1.1 -B -c 1这样一来，获得1.1.1.1这个IP地址的master主机将IP地址为...的ARP请求广播到全网，假设路由器运行Linux，则路由器接收到该ARP请求后将根据来源IP地址更新其本地的ARP缓存表项(如果有的话)，然而问题是，该表项更新的结果状态却是stale，这只是ARP的规定，具体在代码中体现是这样的，在arp_process函数的最后：

       复制代码

           

       代码如下:

       if (arp-ar_op != htons(ARPOP_REPLY) || skb-pkt_type != PACKET_HOST)

           state = NUD_STALE;

           neigh_update(n, sha, state, override ? NEIGH_UPDATE_F_OVERRIDE : 0);

           if (arp-ar_op != htons(ARPOP_REPLY) || skb-pkt_type != PACKET_HOST)

           state = NUD_STALE;

           neigh_update(n, sha, state, override ? NEIGH_UPDATE_F_OVERRIDE : 0);

       由此可见，只有实际的外发包的下一跳是1.1.1.1时，才会通过“本地确认”机制或者实际发送ARP请求的方式将对应的MAC地址映射reachable状态。

       更正：在看了keepalived的源码之后，发现这个担心是多余的，毕竟keepalived已经很成熟了，不应该犯“如此低级的错误”，keepalived在某主机切换到master之后，会主动发送免费arp，在keepalived中有代码如是：

       复制代码

           

       代码如下:

       vrrp_send_update(vrrp_rt * vrrp, ip_address * ipaddress, int idx)

           {

           char *msg;

           char addr_str[];

           if (!IP_IS6(ipaddress)) {

           msg = "gratuitous ARPs";

           inet_ntop(AF_INET, ipaddress-u.sin.sin_addr, addr_str, );

           send_gratuitous_arp(ipaddress);

           } else {

           msg = "Unsolicited Neighbour Adverts";

           inet_ntop(AF_INET6, ipaddress-u.sin6_addr, addr_str, );

           ndisc_send_unsolicited_na(ipaddress);

           }

           if (0 == idx debug ) {

           log_message(LOG_INFO, "VRRP_Instance(%s) Sending %s on %s for %s",

           vrrp-iname, msg, IF_NAME(ipaddress-ifp), addr_str);

           }

           }

           vrrp_send_update(vrrp_rt * vrrp, ip_address * ipaddress, int idx)

           {

           char *msg;

           char addr_str[];

           if (!IP_IS6(ipaddress)) {

           msg = "gratuitous ARPs";

           inet_ntop(AF_INET, ipaddress-u.sin.sin_addr, addr_str, );

           send_gratuitous_arp(ipaddress);

           } else {

           msg = "Unsolicited Neighbour Adverts";

           inet_ntop(AF_INET6, ipaddress-u.sin6_addr, addr_str, );

           ndisc_send_unsolicited_na(ipaddress);

           }

           if (0 == idx debug ) {

           log_message(LOG_INFO, "VRRP_Instance(%s) Sending %s on %s for %s",

           vrrp-iname, msg, IF_NAME(ipaddress-ifp), addr_str);

           }

           }

六.第二个问题的解决

       扯了这么多，在Linux上到底怎么设置ARP缓存的老化时间呢？

       我们看到/proc/sys/net/ipv4/neigh/ethX目录下面有多个文件，到底哪个是ARP缓存的老化时间呢？实际上，直接点说，就是base_reachable_time这个文件。其它的都只是优化行为的措施。比如gc_stale_time这个文件记录的是“ARP缓存表项的缓存”的存活时间，该时间只是一个缓存的缓存的存活时间，在该时间内，如果需要用到该邻居，那么直接使用表项记录的数据作为ARP请求的内容即可，或者得到“本地确认”后直接将其置为reachable状态，而不用再通过路由查找，ARP查找，ARP邻居创建，ARP邻居解析这种慢速的方式。

       默认情况下，reachable状态的超时时间是秒，超过秒，ARP缓存表项将改为stale状态，此时，你可以认为该表项已经老化到期了，只是Linux的实现中并没有将其删除罢了，再过了gc_stale_time时间，表项才被删除。在ARP缓存表项成为非reachable之后，垃圾回收器负责执行“再过了gc_stale_time时间，表项才被删除”这件事，这个定时器的下次到期时间是根据base_reachable_time计算出来的，具体就是在neigh_periodic_timer中：

       复制代码

           

       代码如下:

       if (time_after(now, tbl-last_rand + * HZ)) {

           struct neigh_parms *p;

           tbl-last_rand = now;

           for (p = tbl-parms; p; p = p-next)

           //随计化很重要，防止“共振行为”引发的ARP解析风暴

           p-reachable_time =neigh_rand_reach_time(p-base_reachable_time);

           }

           ...

           expire = tbl-parms.base_reachable_time 1;

           expire /= (tbl-hash_mask + 1);

           if (!expire)

           expire = 1;

           mod_timer(tbl-gc_timer, now + expire);

           if (time_after(now, tbl-last_rand + * HZ)) {

           struct neigh_parms *p;

           tbl-last_rand = now;

           for (p = tbl-parms; p; p = p-next)

           //随计化很重要，防止“共振行为”引发的ARP解析风暴

           p-reachable_time =neigh_rand_reach_time(p-base_reachable_time);

           }

           ...

           expire = tbl-parms.base_reachable_time 1;

           expire /= (tbl-hash_mask + 1);

           if (!expire)

           expire = 1;

           mod_timer(tbl-gc_timer, now + expire);

       可见一斑啊！适当地，我们可以通过看代码注释来理解这一点，好心人都会写上注释的。为了实验的条理清晰，我们设计以下两个场景：

       1.使用iptables禁止一切本地接收，从而屏蔽arp本地确认，使用sysctl将base_reachable_time设置为5秒，将gc_stale_time为5秒。

       2.关闭iptables的禁止策略，使用TCP下载外部网络一个超大文件或者进行持续短连接，使用sysctl将base_reachable_time设置为5秒，将gc_stale_time为5秒。

       在两个场景下都使用ping命令来ping本地局域网的默认网关，然后迅速Ctrl-C掉这个ping，用ip neigh show all可以看到默认网关的arp表项，然而在场景1下，大约5秒之内，arp表项将变为stale之后不再改变，再ping的话，表项先变为delay再变为probe，然后为reachable，5秒之内再次成为stale，而在场景2下，arp表项持续为reachable以及dealy，这说明了Linux中的ARP状态机。那么为何场景1中，当表项成为stale之后很久都不会被删除呢？其实这是因为还有路由缓存项在使用它，此时你删除路由缓存之后，arp表项很快被删除。

七.总结

       1.在Linux上如果你想设置你的ARP缓存老化时间，那么执行sysctl -w net.ipv4.neigh.ethX=Y即可，如果设置别的，只是影响了性能，在Linux中，ARP缓存老化以其变为stale状态为准，而不是以其表项被删除为准，stale状态只是对缓存又进行了缓存；

       2.永远记住，在将一个IP地址更换到另一台本网段设备时，尽可能快地广播免费ARP，在Linux上可以使用arping来玩小技巧。

linux arp命令

       linux系统arp命令怎么用？让我们一起来了解下。

       基本介绍：arp命令用于操作主机的arp缓存，它可以显示arp缓存中的所有条目、删除指定的条目或者添加静态的ip地址与MAC地址对应关系。

       入门测试：

       显示本机arp缓存中所有记录：

       # arp

       代码说明及拓展：

       -a 显示arp缓存的所有条目，主机位可选参数

       -H 指定arp指令使用的地址类型

       -d 从arp缓存中删除指定主机的arp条目

       -D 使用指定接口的硬件地址

       -e 以linux的显示风格显示arp缓存中的条目

       -i 指定要操作arp缓存的网络接口

       -n 以数字方式显示arp缓存中的条目

       -v 显示详细的arp缓存条目，包括缓存条目的统计信息

       -f 设置主机的IP地址与MAC地址的静态映射

       今天的分享就是这些，希望能帮助大家。