1、前言
随着互联网的不断发展，TCP/IP协议簇成为使用最广泛的网络互连协议。但由于协议设计之初主要应用于研究环境，针对少量、可信的用户群体，网络安全问题不是主要的考虑因素，对安全考虑得不够，导致协议存在着一些安全风险问题。从本篇开始，带领大家一同了解下常见的网络攻击方式和防御手段。
2、MAC地址泛洪
2.1 攻击原理
交换机收到数据帧后会基于源MAC地址进行学习，形成MAC地址表后便可基于目的MAC查表转发;如果可以查到则单播转发，如果查不到则在VLAN内泛洪转发。基于此，攻击者向局域网内发生大量伪造MAC地址的数据帧，试图占满交换机的MAC地址转发表。由于表项都具有一定的空间限制，当MAC地址表被占满后，就无法学习到新的MAC地址。
2.2 防御原理
基于端口或者基于VLAN来限制MAC地址学习数量，可有效防止MAC地址表项被占满。当MAC地址数量达到上限时可根据需要采取不学习且丢弃、不学习但转发等不同策略。
3、MAC地址欺骗
3.1 攻击原理
相比MAC地址泛洪攻击，MAC地址欺骗攻击则显得更加隐蔽。MAC地址欺骗攻击不会发送大量数据帧，而是发送含有几个特定源MAC地址(正常用户的MAC地址)的数据帧，误导交换机认为自己是网络中的另一台主机，从而将本该发送给正常用户的数据帧发给了攻击者。
3.2 防御原理
基于源MAC地址学习时增加优先级选项，对于不同接口学习到相同MAC地址时，高优先级接口的MAC地址表项可以覆盖低优先级接口的MAC地址表项。基于此，可将连接正常用户接口的优先级配置为最高优先级，以此防范MAC地址欺骗攻击。
4、IP地址冒用
4.1 攻击原理
IP地址冒用是指攻击者使用自己的MAC地址，但是冒用他人的IP地址进行通信，以获取被攻击者的权限或者本应发送给被攻击者的报文。
4.2 攻击示例
如图1所示，展示了一个IP地址冒用攻击示例。
图1 IP地址冒用攻击示例
4.3 防御原理
建立一个地址绑定表用于记录IP地址和MAC地址的对应关系;
收到IP报文后，提取报文头中的源IP地址查找绑定表中对应的MAC地址，并且与帧头部包含的实际源MAC地址进行比较;
如果两者不一致，则认为该报文是非法报文，并将其丢弃;
对于源IP地址不在地址绑定表中的报文，会直接通过IP-MAC绑定检查。
5、ARP欺骗
5.1 攻击原理
ARP欺骗是指攻击者冒用他人的MAC地址发送ARP报文，同样可以获取到本应发送给被攻击者的报文;或者冒用网关的MAC地址，使网络内所有主机都将报文发给自己。
5.2 攻击示例
如图2所示，展示了一个ARP欺骗攻击示例。
5.3 防御原理
同“3.3 防御原理”。
6、URPF
6.1 攻击原理
基于源IP地址欺骗发起网络攻击。
6.2 攻击示例
如图3所示，展示了一个基于源IP地址欺骗攻击示例，非法用户发起的这种伪造报文对服务器以及合法用户都造成了攻击。
6.3 防御原理
URPF(Unicast Reverse Path Forwarding)即单播逆向路径转发，其主要功能是防止基于源地址欺骗的网络攻击行为。
一般情况下，路由设备接收到报文，获取报文的目的IP地址，针对目的IP地址查找路由表，如果找到了就转发报文，否则丢弃该报文。而URPF对此流程进行了完善，对于严格模式：
获取报文的源IP地址和入接口信息，在路由表中查找源IP地址对应的接口是否与入接口匹配;
如果匹配，则认为源IP地址是真实的，继续转发该报文;
如果不匹配，则认为源IP地址是虚假的，直接丢弃该报文。
对于松散模式：
获取报文的源IP地址和入接口信息，在路由表中查找源IP地址是否存在路由表项;
如果存在，则认为源IP地址是真实的，继续转发该报文;
如果不存在，则认为源IP地址是虚假的，直接丢弃该报文。
通过这种方式，URPF能够有效地防范网络中通过修改报文源IP地址而进行恶意攻击行为。
7、结语
网络安全是一片没有硝烟的战场，攻防博弈，此消彼长。知己知彼者，百战不怠，要想成功防御攻击必须先清楚攻击原理。本期内容就到这里，更多攻防技术下期见!