一、适用场景：

1、某些企业的WIFI覆盖不全面的情况下，企业职工想通过自己购置的无线路由器实现使用无线WIFI时，无意间接入无线路由器，导致ip欺骗攻击形成。
2、当企业对某个网段中的某些ip地址，限制其不能连外网，但是为了连外网，用户手动修改自己设备的ip地址为网关ip地址时，ip欺骗攻击形成。
3、某些企业中懂网络工作原理的工作人员，恶作剧时，修改某设备的ip地址为网关或路由器接口的ip地址，ip欺骗攻击形成。

解决方案：在链路中的关键设备上进行ip地址与MAC地址的ARP静态绑定。配置IPSG技术、DHCP snooping技术，本例通过实验的方式来完成无意或有意的攻击，以及如何防御。拓扑图中红色框的路由器用于模拟攻击的设备。

二、拓扑图：

三、配置打通网络（除红色框中的路由器，其余为正常运行中的网络设备）

（一）AR1：

sysname AR1
dhcp enable
interface GigabitEthernet0/0/1
ip address 192.168.100.253 255.255.255.0
dhcp select relay
dhcp relay server-ip 192.168.100.254

interface GigabitEthernet0/0/2
ip address 192.168.101.254 255.255.255.0
dhcp select relay
dhcp relay server-ip 192.168.100.254

rip 1
version 2
network 192.168.101.0
network 192.168.100.0

（二）AR2：

sysname AR2
dhcp enable
ip pool yanfa
gateway-list 192.168.101.254
network 192.168.101.0 mask 255.255.255.0
dns-list 192.168.2.1

ip pool bangong
gateway-list 192.168.100.254
network 192.168.100.0 mask 255.255.255.0
excluded-ip-address 192.168.100.253
dns-list 192.168.2.1
interface GigabitEthernet0/0/1
ip address 192.168.1.253 255.255.255.0

interface GigabitEthernet0/0/2
ip address 192.168.100.254 255.255.255.0
dhcp select global

rip 1
version 2
network 192.168.1.0
network 192.168.100.0

（三）AR3：

sysname AR3
interface GigabitEthernet0/0/1
ip address 203.203.1.1 255.255.255.248

interface GigabitEthernet0/0/2
ip address 203.204.100.254 255.255.255.0
dhcp select interface
dhcp server excluded-ip-address 203.204.100.1
dhcp server excluded-ip-address 203.204.100.252

rip 1
version 2
network 203.203.1.0
network 203.204.100.0

（四）FW1：

sysname USG6000V1

interface GigabitEthernet1/0/0
undo shutdown
ip address 192.168.2.254 255.255.255.0

interface GigabitEthernet1/0/1
undo shutdown
ip address 203.203.1.2 255.255.255.248

interface GigabitEthernet1/0/2
undo shutdown
ip address 192.168.1.254 255.255.255.0

firewall zone trust
set priority 85
add interface GigabitEthernet0/0/0
add interface GigabitEthernet1/0/2

firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/1

firewall zone dmz
set priority 50
add interface GigabitEthernet1/0/0

rip 1
version 2
network 203.203.1.0
network 192.168.2.0
network 192.168.1.0

security-policy
rule name trustdmztountrust
source-zone dmz
source-zone trust
source-zone untrust
destination-zone dmz
destination-zone trust
destination-zone untrust
action permit

（五）DNS Server1

（六）FTP Server2

（七）Https Server3

（八）测试网络的连通性：

1、验证AR2的DHCP功能，基于全局的地址池是否能被PC2获取到正确的ip地址、网关、DNS信息，与预期一致，如下图：

2、验证AR2的DHCP功能，基于全局的地址池在DHCP中继后，是否能被PC1获取到正确的ip地址、网关、DNS信息，与预期一致，如下图：

3、trust区域的PC2访问DMZ区域的dns server，测试连通性
（1）PC2 192.168.100.252 ping dns server 192.168.2.1，连通正常，如下图：

（2）PC2跟踪到dns server的路由

4、trust区域的PC1 访问DMZ区域的dns server，测试连通性
（1）PC1 ping dns server

（2）PC1跟踪到dns server的路由

5、trust区域的PC2与client2访问untrust区域的https server3，测试连通性
（1）PC2跟踪到http server3的路由

（2）client2访问www.baidu.com网站

6、trust区域的PC1与client1访问untrust区域的https server3，测试连通性
（1）PC1跟踪到https server3的路由

（2）client1访问www.baidu.com网站

四、验证攻击与防御过程：

（一）在trust内网区域，接入一个新路由器AR4，模拟内网网关的ip欺骗

1、未配置AR4之前，PC2通过DNS server正常解析www.baidu.com的路径，如下图：

2、配置AR4的G0/0/1接口ip地址与AR2的G0/0/2接口相同，都为192.168.100.254
（1）AR4上操作：
interface GigabitEthernet0/0/1
ip address 192.168.100.254 255.255.255.0

查看AR4的G0/0/2接口MAC地址为00e0-fce2-739e
3、查看AR2上的G0/0/2接口MAC地址为：00e0-fc0a-362a

4、在PC2上验证网络的连通性，并验证网关到底是哪个，从下图可以看出，很明显，此时虽然ping通了192.168.100.254，却是由AR4这台攻击路由器回复的数据包，如下图：

5、PC1释放ip地址后，再重新获取ip地址时，由于AR4的接入，网关MAC地址变化，所以获取不到ip地址了，分别在AR2的G0/0/2接口与AR4的G 0/0/1接口抓包，均有DHCP的discover中继请求，但回复数据包是AR2还是AR4无法确定，因为AR2与AR4此时有接口的ip地址完全相同，都是192.168.100.254/24，导致DHCP客户端无法正常获取到ip地址，如下图：

（二）LSW2上接入的192.168.100.254网关ip欺骗导致DHCP客户端无法正常获取ip地址，解决方案

1、数据包的分歧是在LSW2发生的，所以要在LSW2上确认有DHCP地址池的192.168.100.254的正确MAC地址，并把192.168.100.254与该mac地址绑定，LSW2具体操作如下：
interface Vlanif1
ip address 192.168.100.251 255.255.255.0
arp static 192.168.100.254 00e0-fc0a-362a vid 1 interface GigabitEthernet0/0/2
2、排除非法接入LSW2的设备对网络数据包转发形成干扰，所以本例配置IPSG技术来完成，LSW2具体操作如下：
user-bind static ip-address 192.168.100.254 mac-address 00e0-fc0a-362a interface G0/0/1 vlan 1
user-bind static ip-address 192.168.100.1 mac-address 5489-98cf-510e interface G0/0/2 vlan 1
user-bind static ip-address 192.168.100.252 mac-address 5489-987f-3d65 interface G0/0/3 vlan 1
user-bind static ip-address 192.168.100.253 mac-address 00e0-fc14-58b6 interface G0/0/4 vlan 1
vlan 1
ip source check user-bind enable
3、在LSW2的各接口配置dhcp snooping，防伪DHCP的攻击，并配置dhcp server的信任接口，所以LSW2的具体操作如下：
dhcp enable
dhcp snooping enable
port-group 1
group-member GigabitEthernet0/0/2 to GigabitEthernet0/0/5
dhcp snooping enable
quit
int g 0/0/1
dhcp snooping trusted
4、完成以上攻击防御的配置后，再从PC1重新获取ip地址正常，如下图：

5、在pc1上ping网关192.168.100.254，此时只有AR2有icmp的回应包了，说明刚才的ARP静态绑定+IPSG技术+DHCP snooping技术起到了作用，防御了外接路由器的ip欺骗，外接路由器使用了网关ip地址，由IPSG技术来反向隔离，只有被绑定的ip与MAC地址及接口对应关系正确的情况下，数据包才得以转发。外接路由器是不会存在于LSW2交换机上的用户绑定列表的。所以无论接在交换机哪个口，或是更换了ip地址，都无法使用网络中的资源，从PC1上ping网关，抓包确认正确，如下图：

（三）LSW4上接入的203.204.100.254网关ip欺骗导致www.baidu.com域名无法解析，解决方案如下：

在LSW4上完成以下配置：
dhcp enable
dhcp snooping enable
user-bind static ip-address 203.204.100.254 mac-address 00e0-fc7b-354a interface G0/0/2 vlan 1
user-bind static ip-address 203.204.100.253 mac-address 5489-98a5-368b interface G0/0/4 vlan 1
user-bind static ip-address 203.204.100.1 mac-address 5489-987c-4989 interface G0/0/3 vlan 1
vlan 1
ip source check user-bind enable
interface Vlanif1
ip address 203.204.100.252 255.255.255.0
arp static 203.204.100.254 00e0-fc7b-354a vid 1 interface G0/0/2
port-group 1
group-member GigabitEthernet0/0/1
group-member GigabitEthernet0/0/3
group-member GigabitEthernet0/0/4
dhcp snooping enable
quit
interface GigabitEthernet0/0/2
dhcp snooping trusted

五、验证防御结果：

（一）跟踪pc1到www.baidu.com域名的路由，正确，如下图：

（二）PC2打开www.baidu.com域名时，到DNS server解析正确后，再跟踪访问网站站点的路径正确，如下图：

本文至此结束，希望能为无意攻击与恶作剧有意攻击提个醒，也能针对这类数据包进行有效的防御。不足之处敬请批评指正。