路由器如何防范来自WAN的ARP欺骗攻击

[vimac]

网络结构很简单，就是普通的小区ADSL，一个有线路由器的WAN接在这个ADSL上，LAN三个用户分享，然后我用一个无线路由器放在这个路由器的LAN中
但最近经常出现无法ping通第一级路由器的情况（当然更谈不了访问其它网站了），拔掉其中某根用户的LAN网线之后就访问正常，所以怀疑是我的无线路由器被来自有线路由器LAN上的这台机器攻击了，看来出租屋隔壁的某个哥们最近想抢网速有点想疯了

当然了，最终解决方案肯定是和他当面交涉，但是想了解技术上是否有防范这种攻击的可能。

补充一下: 我的路由器是TL-WR702N，那个有线路由器也是一个TPLINK，但是我不知道账号密码

[xinhugo]

IP 与 MAC 地址绑定。

[sdysj]

以前大学时候有人搞ARP欺骗来卡我下载，然后俺手执dsniff工具组里的arpspoof反击之，世界清静了。

[pubby]

当故障出现的时候，那跟LAN线上的电脑能上网吗？

对链路层不太熟悉，不知道无线路由器的LAN接在一级路由的LAN上会不会有问题，

假设有一个笔记本电脑网线连一级路由的LAN，然后无线网卡又连上了你的无线路由器，
那会不会造成回路啊？

[sdysj]

PS:原理就是向一级路由强调爷才是这IP的。

[vimac]

@xinhugo 感谢回复，但是这个方案不可行，正如你所见，我不知道一级路由的用户名密码

[vimac]

@sdysj 感谢回复，反复向上层路由器发送ARP的方案是有想到的，看来还是只能安装一个OpenWRT么……

[vimac]

@pubby 感谢回复，有线路由器的LAN上的其它电脑能不能上网这点我这个没有验证过，因为各个屋子里的人都不怎么熟悉打照面，然后我的设备都是无线的，不存在有线的设备

但至于你后面的问题，我觉得应该只是一个默认路由的问题

[cloudream]

买个(带限速的)路由换上去，然后就你说了算了。

[vimac]

@cloudream 感谢回复。单纯的限速按照我的理解应该是无法解决ARP攻击的问题的，只是别人无法抢网速，但一旦攻击还是可以造成你无法上网。

[pubby]

@v iMac 公司发生过类似情况

不定时出现无法连接网关，交换机重启后恢复，某网线拔掉后也可恢复。

故障发生的时候交换机下所有机器不能互联。因为没检测到ARP攻击，怀疑有回路导致交换机罢工了，不过没专业设备检测。

后来把无线路由独立出去，WAN口单独链接到网关的一个空闲网卡，并配置不同的网段。


交换机：一个华为24口低端交换机
无线路由：一个华为企业级无线路由
网关：一台退役的老Dell服务器，插了很多网卡，
网卡1. 连大楼交换机
网卡2. 连电信ADSL猫（备用线路）
网卡3. 连内网无线路由WAN口
网卡4. 连内网交换机

[cloudream]

@v iMac 都换了你的路由里还不绑定IP？ 如果这个路由直接连自己拨号的ADSL猫，那不需要任何设置就可以直接替换掉才对……几十人民币就搞定……

[cloudream]

才发现系统自作聪明的把id里的 iMac 大小写改了再加个空格 XD

[pubby]

@cloudream 发现了，这么说 v iMac 永远收不到回复提醒 -_-

[msg7086]

@livid @v iMac

[messense]

会不会是隔壁哥们也在用无线路由而且把网线插进 LAN 口还开了 DHCP ？

[jasontse]

ARP双向绑定才能完全避免，如果你没有一级路由的权限那就只能对攻了

[vimac]

@pubby 再次感谢，我会再排查下看看，不过应该不是这种情况，我经常改个MAC+换个IP就又可以短暂的ping通一级路由。另外其实我能接收到回复通知的，因为帖子是我开的 :)

[vimac]

@cloudream 呵呵，主要的问题还是因为我没有那个一级路由器的权限，也不知道ADSL的账号密码（房东自己都不清楚了，不过应该主要是她懒得去翻箱倒柜找纸条）

[vimac]

@messense 感谢回复，我会再排查下看看

[caomu]

@livid 你这大小写强迫症也太那啥了。。。