一、ARP 协议（地址解析协议）模块

1. 基础概念：广播与广播域

1. 广播帧：目的 MAC 为 FF-FF-FF-FF-FF-FF，同广播域内所有设备接收。
2. 广播域：同一广播能抵达的全部设备集合，路由器天然隔离广播域，交换机无法隔离。
3. 两类广播地址：
   • MAC 广播：FF-FF-FF-FF-FF-FF
   • IP 广播：全网广播 255.255.255.255；网段广播如 192.168.1.255/24

2. ARP 协议核心原理

ARP 全称 地址解析协议，作用：已知 IP，查询对应 MAC 地址，实现二层封装通信。完整通信流程：

1. 主机 PC1 要访问 PC2，本地 ARP 缓存无 PC2 的 IP-MAC 映射；
2. PC1 发送 ARP 请求广播，全网询问目标 IP 对应的 MAC；
3. 网段内所有主机接收广播，仅目标主机 PC2 回复 ARP 单播应答；
4. PC1 收到应答，将 IP+MAC 存入本地 ARP 缓存，后续直接封装数据通信。

3. 各平台 ARP 操作命令

Windows 主机

cmd

arp -a        # 查看本机 ARP 缓存表
arp -d        # 清空全部动态 ARP 缓存
arp -s IP MAC # 静态绑定 IP-MAC（旧版）
# Win10/11 新版持久绑定
netsh interface ipv4 set neighbors 网卡序号 网关 IP 网关 MAC
netsh interface ipv4 show neighbors

Cisco 路由器/交换机

ios

show arp                     # 查看设备 ARP 缓存
clear arp-cache              # 清空 ARP 缓存
arp 目标IP MAC arpa 接口     # 静态绑定 ARP（永久防欺骗）
# 示例：arp 10.0.0.178 001a.e2df.0741 arpa f0/1

4. ARP 欺骗/攻击原理（考试重点）

ARP 无身份校验机制，攻击者伪造 ARP 应答篡改全网缓存，分为两种攻击模式：

1. 欺骗网关（中间人攻击） 攻击者向主机发送伪造 ARP 报文：宣称 "网关 IP = 攻击者 MAC"；同时向网关发送报文："内网主机 IP = 攻击者 MAC"。内网所有上网流量全部经过攻击者主机转发，可抓取网页、Telnet 账号密码。
2. 欺骗内网主机（断网攻击） 攻击者向两台通信主机发送虚假 ARP，互相篡改对方 MAC 为攻击者地址，两台主机流量全部经过攻击者，严重时直接断连。

风险提示：ARP 欺骗攻击仅允许实验室环境演示，严禁在企业、公网私自实施，属于网络违法行为。

5. ARP 故障排查与防御方案

故障现象

主机无法上网，ARP 缓存内网关 MAC 与真实网关 MAC 不一致，存在虚假条目。

四层防御手段

1. 静态绑定 IP-MAC
   • 终端主机绑定网关 ARP；
   • 路由器绑定内网所有终端 IP-MAC；
   • 交换机端口绑定对应终端 IP-MAC。
2. 部署 ARP 防火墙：主机侧自动拦截虚假 ARP 应答，统计攻击报文。
3. 交换机定位攻击源 通过 MAC 地址表查询恶意 MAC 对应的接入端口：

ios

show mac address-table address 伪造MAC地址

1. 企业进阶方案：交换机开启 DAI（动态 ARP 检测），全局拦截非法 ARP 报文。

配套实验梳理

1. 实验 1：科来抓包，抓取 ARP 广播请求、单播应答报文，分析报文字段；
2. 实验 2：ARP 断网攻击，攻击者篡改两台主机 ARP 缓存，使终端无法互通；
3. 实验 3：中间人窃取密码，搭建 Telnet 服务，欺骗抓取明文账号密码。

二、IP 协议、路由与 ICMP 模块

1. IP 数据包头部核心字段（三层封装基础）

IP 头部固定 20 字节，关键字段解析：

表格

字段	作用
版本	IPv4 固定值 4
TTL 生存周期	每经过一台路由器 -1，值为 0 直接丢弃，防止路由环路
协议号	标识上层协议：TCP=6，UDP=17，ICMP=1
源 IP/目标 IP	32 位四层寻址核心，全程传输不改变

2. 路由基础概念

1. 路由：跨网段转发数据包的全过程；路由器是三层转发设备，依靠路由表选路。
2. 路由表形成规则
   • 直连路由：路由器接口配置 IP、UP 后自动生成直连网段条目；
   • 非直连网段：必须手动配置静态路由/动态路由写入路由表。
3. 交换与路由核心区别
   • 交换机（二层）：依据 MAC 地址表转发，仅同网段通信，无法隔离广播；
   • 路由器（三层）：依据路由表转发，跨网段通信，天然隔离广播域。

3. 静态路由 & 默认路由

（1）静态路由

管理员手动逐条配置路由条目，单向生效、无自动收敛，适合小型固定网络。Cisco 配置命令：

ios

ip route 目标网段 子网掩码 下一跳IP/出接口
# 示例：ip route 192.168.1.0 255.255.255.0 192.168.2.1

（2）默认路由

路由表无匹配条目时转发的兜底路由，0.0.0.0 0.0.0.0 代表 所有未知网段，常用于企业出口路由器、末节网络。配置命令：

ios

ip route 0.0.0.0 0.0.0.0 出口下一跳IP

适用场景区分

• 静态路由：小型多分支、路径固定网络；
• 默认路由：单出口内网、仅一条外网链路的场景。

4. 数据包跨路由器转发封装规则

1. 源 IP、目标 IP 全程不变；
2. 二层源 MAC、目的 MAC 每经过一台路由器重新封装：
   • 主机→路由器：目的 MAC 为网关接口 MAC；
   • 路由器→下一跳路由器：目的 MAC 为对端直连接口 MAC；
   • 最后路由器→目标主机：目的 MAC 为终端主机 MAC。

5. ICMP 协议与 Ping 工具

ICMP 属于网络层协议，封装在 IP 包内，用于 错误反馈、连通性检测，ping 是最典型应用。

Windows ping 常用参数

cmd

ping -t IP    # 持续长 ping，Ctrl+C 终止
ping -l 10000 IP # 自定义数据包大小，测试链路稳定性
ping -a IP    # 反向解析目标主机名

ping 返回结果含义

1. 正常回复：字节、时间、TTL，链路连通；
2. 请求超时：路由不通、防火墙拦截、主机离线；
3. 无法访问目标主机：同网段 ARP 解析失败，无路由。

路由配套实验

1. 实验 1：多路由器静态+默认路由配置，实现全网全网段互通；
2. 实验 2：设备 Telnet 远程管理，内网 PC 远程登录路由器；
3. 实验 3：双路由器默认路由部署，分析双向默认路由带来的环路风险。

补充考点：路由环路

成因：静态/默认路由配置错误，数据包在两台路由器之间无限转发；危害：TTL 不断递减至 0，数据包丢弃，占用带宽，网络卡顿。

三、VLAN 虚拟局域网（补充知识框架）

1. VLAN 核心作用

交换机默认所有端口同属广播域，广播风暴消耗带宽；VLAN 逻辑分割广播域，不同 VLAN 默认无法通信，路由器/三层交换实现 VLAN 间互通。

2. VTP 协议

交换机同步 VLAN 数据库的协议，分为服务器、客户端、透明三种模式，简化多交换机 VLAN 批量配置。

3. 核心价值

1. 隔离广播，减少广播风暴；
2. 按部门逻辑分组，提升网络安全；
3. 灵活调整终端所属网段，无需改动物理布线。

四、三大模块综合总结

1. ARP（二层+三层衔接）：负责 IP 转 MAC，是内网通信基础；核心风险为 ARP 中间人欺骗，防御核心是 IP-MAC 静态绑定；
2. IP & 路由（三层核心）：实现跨网段转发，静态/默认路由是基础配置；ICMP 用于网络故障检测，TTL 机制规避环路；转发时三层 IP 不变、二层 MAC 逐跳重封装；
3. VLAN（二层优化）：分割广播域，解决交换机广播泛滥问题，VTP 统一管理多交换机 VLAN；
4. 实操学习思路：先抓包理解协议报文→掌握设备配置命令→模拟攻击/故障复现→搭建防御方案，完整覆盖理论+实验考点。

拓展学习思考（试卷简答题标准答案）

1. 简述 ARP 欺骗原理：ARP 协议无身份验证，攻击者持续发送伪造 ARP 应答报文，篡改终端与网关的 ARP 缓存，使双方流量全部经过攻击者主机，实现流量劫持、窃听或断网。
2. ARP 攻击防御需要在哪些设备绑定 ARP？终端主机、内网路由器、接入交换机三层设备全部做静态 IP-MAC 绑定；搭配 ARP 防火墙、交换机 DAI 功能。
3. 交换机查询指定 MAC 对应端口命令：show mac address-table address MAC地址
4. 0.0.0.0 0.0.0.0 含义：代表所有未知目标网段，是默认路由的匹配条目，无精准路由时转发至该下一跳。
5. 直连路由定义：路由器接口配置 IP 地址且接口状态 UP/UP 后，自动生成对应直连网段的路由条目，无需手动配置。
6. 静态路由、默认路由使用场景：静态路由适用于小型固定拓扑、多分支内网；默认路由适用于单出口末节网络、内网访问互联网场景。
7. 路由环路危害：数据包在路由器间循环转发，TTL 不断归零丢弃，浪费链路带宽，造成网络延迟、业务中断。