一次arp proxy的欺骗行为

  服务器遇到一次奇怪的现象。当网关与俺码同时配错时外网可达,网关不可达。模拟研究发现vlan划分和子网划分不一致会带来一定的影响。

  环境:vlan 10 ,ip 172.16.10.1/255.255.255.0,

  vlan 20 ,ip 192.168.2.50/255.255.255.0,

  主机vbox-fai, 172.16.10.2/255.255.255.0 gateway 172.16.10.1

  正确配置时,172.16.10.1与192.168.2.50 可通,服务器记录网关的arp 172.16.10.1 对应自己的mac(以下称网关mac为mac-a),arp retquest 发出后,172.16.10.1 reply服务器发出的arp请求,

  当配置成,172.16.10.2/255.255.0.0 gateway 172.16.1.1 时,也可与192.168.2.50通,服务器,arp 172.16.1.1 对应为mac-a,arp request广播发出后,询问谁是,172.16.1.1的mac,因为交换机上开启了proxy-arp,网关会把自己的mac-a告诉服务器,交换机认为这是为了保证联通性,但实质是欺骗了服务器的arp请求,这个reply导致服务器的arp记录错误,此时服务器与172.16.1.1不通,但是与192.168.2.50通,traceroot第一跳是 172.16.10.1 正常来讲出vlan第一跳应当是自己的网关。

  以上两种配置,arp request的请求广播地址是不同的,正确时:172.16.10.255,错误时:172.16.255.255,网关的配置它应当是仅存在于172.16.10.255这个广播域中,但是实际上不是。vlan从二层划分了广播域,但是子网的广播域在三层并没有被vlan划分。

  此例中可以进行两种设置。

  ip broadcast-address 172.16.10.255 (1)

  no ip proxy-arp (2)

  (1)设置vlan 10的广播地址为172.16.10.255,可以视为vlan对子网也进行了划分,172.16.255.255的广播请求,不会被网关处理直接丢掉了,没有arp reply服务器就没有网关的mac,就不会形成网络联通的假象。这种配置会使,任何非此广播地址的包都不会得到网关的回应。如果两个子网在同一vlan如果设置这个会导致其中一子网学不到网关的arp.

  (2) 设置vlan10 关闭arp代理,网关仍然接收并处理172.16.255.255的请求,但是不会进行arp代理的回应。就不会告诉172.16.10.2,我是172.16.1.1 服务器得不到reply也就不会有网关的mac,就不会形成网络联通的假象和外网就不会通。

  arp proxy,路由认为是一种保持连通性的行为,可以说是一种善意的谎言,但它还是骗了。

 

发表评论

邮箱地址不会被公开。 必填项已用*标注