网管经验：用聚生网管检测ARP病毒攻击之手记

最近小李单位的局域网经常有人莫名其妙地网速变慢、甚至掉线的现象。起初，小李以为是其电脑自身的问题，比如电脑中毒了或者操作系统积累的垃圾文件太多，或者是单位的局域网内有人在用迅雷下载东西等，所以小李也没太在意，只按照一些常规的网络管理手段来进行了一番处理。但是，这种现象并没有完全消除，一些电脑还是间歇地掉线、断网、网速变慢。这让小李顿时一筹莫展。

小李突然想到，最近这一段时间流行ARP攻击、ARP欺骗。ARP攻击的原理就是局域网某些电脑向整个局域网广播伪造的ARP报文，也就是向局域网电脑发送一个网关的IP地址加上一个错误的网关的MAC地址，这样局域网的电脑的ARP表就会被更改成一个错误的网关的ARP表项，导致局域网电脑上网的时候无法将数据包发送出去而出现掉线、断网的现象。

聚生网管

小李于是到那些上网速度慢或者断网的电脑上查询ARP表项。结果让小李大吃一惊，果然有ARP木马攻击，导致电脑的ARP表存储的网关的MAC地址指向了一个不存在的MAC地址，所以电脑自然就无法上网了。所以，接下来小李的工作就是尽快找到ARP攻击源主机、杀掉ARP木马，从而达到抵御ARP攻击、防止ARP欺骗的目的。小李于是试着用一些抓包软件在这台电脑上抓包，想从抓取的报文中发现ARP攻击源主机的一些信息并最终定位。但是，令小李失望的是，由于攻击源主机发送的ARP报文是伪造的，也就是局域网根本不存在这个电脑，所以小李自然也一无所获。

小李没办法，只能给这台电脑安装了ARP防火墙以防止ARP欺骗。但是，这终究不是一个一劳永逸的办法。首先，局域网有200多台电脑，如果每台电脑都安装ARP防火墙，那么这个工作量可想而知;其次，ARP防火墙的原理将网关的IP和MAC地址进行绑定，并不断地向局域网的网关发送ARP请求信息，以此来达到和网关正常通信的目的，这样如果局域网电脑数量很多的情况下，网关收到ARP防火墙的ARP广播报文就会非常多，这样网关的负荷就非常大，容易引发网络风暴导致路由器重启、死机等现象而引发整个局域网掉线，所以负面影响太大;最后，由于ARP防火墙只能防止ARP欺骗攻击，却无法应对ARP劫持攻击，而后一种攻击同样也可以导致局域网电脑掉线、断网现象，所以安装ARP防火墙只是一种治标不治本的方法，不能完全保证局域网网络安全、畅通的目的。

再三思索，小李终究还是放弃了给电脑安装ARP防火墙来防止ARP广播攻击，而是下定决心要找到ARP攻击源主机，从根源上彻底治理ARP病毒侵害局域网的症结。

小李于是在网上搜索一些网络管理工具，找到了一款叫做聚生网管的上网行为管理系统，里面有检测ARP病毒、防范ARP木马攻击的功能。小李于是迫不及待地从聚生网管的官方网址(http://www.grabsun.com/)下载了聚生网管软件来进行试验。在聚生网管的“安全管理”里面有一个“网络安全检测工具”，里面有一个ARP攻击、ARP病毒专项检测工具，如下图所示：

聚生网管

首先，启用ARP病毒、ARP攻击防御功能之后，聚生网管就会向局域网发送ARP病毒免疫信息，这样起到了主动预防ARP攻击的功能;其次，在检测到ARP攻击时，聚生网管系统可以自动加大免疫力度，从而可以抵消ARP攻击的危害，保证网络正常通信;其次，在检测到ARP攻击时，聚生网管系统还可以记录攻击源主机，从而便于网管人员及时采取规避措施。

这些功能让小李兴奋不已，马上启动了这几项功能，果然发现了局域网ARP攻击源主机，小李于是到那个电脑上进行检测，发现其实那款电脑用了一个采用ARP技术的黑客软件，这个软件是通过ARP欺骗的方式来限制局域网其他电脑上网速度，从而让自己可以获取更大的上网带宽。这让小李十分气恼，当面批评了那个私自安装黑客软件的电脑用户，并将其完全卸载了。之后，局域网网络情况明显改观，没有再出现电脑上网慢、间歇性掉线的情况。

导读：

SKiller：不怕ARP防火墙的局域网网速限制软件

相关链接

几款常用的局域网网速限制工具:P2P终结者、幻境网盾Skiller和聚生网管

如果你在局域网环境里上网，你可能为被人“抢”网速而头痛，而感到无奈的是，你没有办法制止他。因此，你能需要一个有效的方法来控制局域网的网速，尽管不是出于邪恶的想法，至少是不让自己那么吃亏吧。

这里介绍三款局域网限速软件，根据个人喜好择用吧。

一、P2P终结者

这是一款目前最流行的局域网网速限制工具，我本人就是用它。

P2P终结者是一款优秀的网络管理软件，它可以让您轻松地、傻瓜化地管理局域网中BT、电驴等大量占用带宽的网络引用，为家庭、企业节省宝贵的有限带宽，从而保障网页浏览，邮件，企业ERP等关键应用。

。。。