一种基于ARP防欺骗的网络设备的制作方法

本申请主要涉及网络安全领域，尤其涉及一种基于arp防欺骗的网络设备。

背景技术：

1、对于采用静态ip（internet protocol）地址接入网络的架构中的多个网络设备，网络设备之间的通信依赖于地址解析协议（arp，address resolution protocol）实现ip地址到mac（media access control）地址的转换。arp协议的基本工作方式是：设备在通信前广播arp请求报文，目标设备以其mac地址予以应答，请求方将应答结果缓存并用于后续通信。由于该协议在设计上缺乏状态管理、身份验证及信任约束机制，其基于“信任”的通信模型导致设备无条件接受并响应arp报文，从而产生arp欺骗攻击的安全隐患。所谓arp欺骗攻击，是指攻击者伪造arp应答报文，将合法ip地址（如网关ip）映射至自身的mac地址，使网络中的其他设备误将流量发送至攻击者，从而实现中间人攻击、数据窃听或网络中断等恶意行为。这使得静态ip环境下防范arp欺骗极为困难。

2、为应对该问题，现有方案包括静态arp绑定、动态arp检测及网关侧arp防护。其中，静态arp绑定需手工维护ip-mac映射表，管理成本高且无法应对mac地址变更；动态arp检测依赖dhcp（dynamic host configuration protocol）snooping，在静态ip环境中无法使用；网关侧的arp欺骗攻击防护仅在网关侧丢弃可疑arp报文，无法阻断欺骗源端口。

3、因此，亟需一种适用于静态ip网络以及能够自动识别合法设备身份并精准隔离arp欺骗攻击的网络设备。

技术实现思路

1、基于上述问题，本申请提出了基于arp防欺骗的网络设备，能够降低在静态ip网络中的arp欺骗攻击风险。

2、本申请提出了一种基于arp防欺骗的网络设备，所述网络设备用于接入局域网，包括：所述网络设备包括网关、至少一个交换机和至少一个终端设备；控制器，被配置为执行如下步骤：s1：在所述网关内设置第一密钥和第二密钥，所述网关与所述至少一个交换机分享所述第一密钥，所述网关与所述至少一个终端设备分享所述第二密钥；s2：使用所述第一密钥建立所述网关与所述至少一个交换机的互信关系；s3：所述网关与所述至少一个交换机基于所述互信关系协商临时密钥；s4：所述至少一个交换机接收到声称来自所述网关的第一arp请求报文，所述至少一个交换机基于所述临时密钥判断所述第一arp请求报文是否为arp欺骗攻击，若所述判断为是，则执行步骤s5; s5：若所述至少一个交换机接收所述第一arp请求报文的接口为接入接口，则将所述接入接口阻塞，并产生警告。

3、与现有技术相比本申请的有益效果为：本申请通过预配置的第一密钥和第二密钥实现网络设备之间的认证流程，在无需dhcp协议参与的情况下，即可实现网络设备的身份识别与认证。此外，将网关侧的统一身份互信认证，与交换机及终端设备侧的arp欺骗攻击识别与阻断机制进行结合，以有效应对arp欺骗攻击。

1.一种基于arp防欺骗的网络设备，所述网络设备用于接入局域网，其特征在于，包括：

2.如权利要求1所述的基于arp防欺骗的网络设备，其特征在于，所述至少一个交换机包括第一目标交换机，所述步骤s2包括：

3.如权利要求2所述的基于arp防欺骗的网络设备，其特征在于，所述步骤s22包括：

4.如权利要求3所述的基于arp防欺骗的网络设备，其特征在于，所述至少一个交换机中包括第二目标交换机，所述步骤s2还包括：

5.如权利要求1所述的基于arp防欺骗的网络设备，其特征在于，在步骤s3之后，步骤s4之前还包括：

6.如权利要求5所述的基于arp防欺骗的网络设备，其特征在于，所述控制器还被配置为：在所述步骤s4之前执行步骤s6，所述步骤s6包括：

7.如权利要求6所述的基于arp防欺骗的网络设备，其特征在于，所述步骤s4包括：

8.如权利要求7所述的基于arp防欺骗的网络设备，其特征在于，所述步骤s4还包括：

9.如权利要求8所述的基于arp防欺骗的网络设备，其特征在于，所述步骤s5还包括：

10.如权利要求9所述的基于arp防欺骗的网络设备，其特征在于，所述控制器还被配置为执行如下步骤：