2.3高级防范
通过交换机的端口安全性设置每个 dhcp 请求指定端口上使用唯一的 mac 地址，通常 dhcp 服务器通过 dhcp 请求的报文中的 chaddr 段判断客户端 mac 地址，通常这个地址和客户端的真是 ip 相同，但是如果攻击者不修改客户端的 mac 而修改 dhcp 报文中 chaddr ，实施 dos 攻击， port security 就不起作用了， dhcp 嗅探技术可以检查 dhcp 请求报文中的 chaddr 字段，判断该字段是否和 dhcp 嗅探表相匹配。这项功能在有些交换机是缺省配置的，有些交换机需要配置，具体需要参考相关交换机的配置文档。
3 arp欺骗/ mitm(man-in-the-middle)攻击原理和防范
3.1 mitm(man-in-the-middle) 攻击原理
按照 arp 协议的设计，为了减少网络上过多的 arp 数据通信，一个主机，即使收到的 arp 应答并非自己请求得到的，它也会将其插入到自己的 arp 缓存表中，这样，就造成了“ arp 欺骗”的可能。如果黑客想探听同一网络中两台主机之间的通信（即使是通过交换机相连），他会分别给这两台主机发送一个 arp 应答包，让两台主机都“误”认为对方的 mac 地址是第三方的黑客所在的主机，这样，双方看似“直接”的通信连接，实际上都是通过黑客所在的主机间接进行的。黑客一方面得到了想要的通信内容，另一方面，只需要更改数据包中的一些信息，成功地做好转发工作即可。在这种嗅探方式中，黑客所在主机是不需要设置网卡的混杂模式的，因为通信双方的数据包在物理上都是发送给黑客所在的中转主机的。
这里举个例子，假定同一个局域网内，有 3 台主机通过交换机相连：
a 主机： ip 地址为 192.168.0.1 ， mac 地址为 01:01:01:01:01:01 ；
b 主机： ip 地址为 192.168.0.2 ， mac 地址为 02:02:02:02:02:02 ；
c 主机： ip 地址为 192.168.0.3 ， mac 地址为 03:03:03:03:03:03 。
b 主机对 a 和 c 进行欺骗的前奏就是发送假的 arp 应答包，如图 所示
在收到 b主机发来的arp应答后，a主机应知道：
到 192.168.0.3 的数据包应该发到 mac 地址为 020202020202 的主机； c 主机也知道：到 192.168.0.1 的数据包应该发到 mac 地址为 020202020202 的主机。这样， a 和 c 都认为对方的 mac 地址是 020202020202 ，实际上这就是 b 主机所需得到的结果。当然，因为 arp 缓存表项是动态更新的，其中动态生成的映射有个生命期，一般是两分钟，如果再没有新的信息更新， arp 映射项会自动去除。所以， b 还有一个“任务”，那就是一直连续不断地向 a 和 c 发送这种虚假的 arp 响应包，让其 arp缓存中一直保持被毒害了的映射表项。
现在，如果 a 和 c 要进行通信，实际上彼此发送的数据包都会先到达 b 主机，这时，如果 b 不做进一步处理， a 和 c 之间的通信就无法正常建立， b 也就达不到“嗅探”通信内容的目的，因此， b 要对“错误”收到的数据包进行一番修改，然后转发到正确的目的地，而修改的内容，无非是将目的 mac 和源 mac 地址进行替换。如此一来，在 a 和 c 看来，彼此发送的数据包都是直接到达对方的，但在 b 来看，自己担当的就是“第三者”的角色。这种嗅探方法，也被称作“ man-in-the-middle ”的方法。如图 所示。
3.2攻击实例
目前利用 arp原理编制的工具十分简单易用，这些工具可以直接嗅探和分析ftp、pop3、smb、smtp、http/https、ssh、msn等超过30种应用的密码和传输内容。 下面是测试时利用工具捕获的 telnet 过程，捕获内容包含了 telnet 密码和全部所传的内容 ：
不仅仅是以上特定应用的数据，利用中间人攻击者可将监控到数据直接发给 sniffer等嗅探器，这样就可以监控所有被欺骗用户的数据。
还有些人利用 arp原理 开发出网管工具，随时切断指定用户的连接。这些工具流传到捣乱者手里极易使网络变得不稳定，通常这些故障很难排查。
3.3防范方法
思科 dynamic arp inspection (dai)在交换机上提供ip地址和mac地址的绑定， 并动态建立绑定关系。dai 以 dhcp snooping绑定表为基础，对于没有使用dhcp的服务器个别机器可以采用静态添加arp access-list实现。dai配置针对vlan，对于同一vlan内的接口可以开启dai也可以关闭。通过dai可以控制某个端口的arp请求报文数量。通过这些技术可以防范“中间人”攻击。
3.3配置示例
ios 全局命令：
ip dhcp snooping vlan 100,200
no ip dhcp snooping information option
ip dhcp snooping
ip arp inspection vlan 100,200 /* 定义对哪些 vlan 进行 arp 报文检测
ip arp inspection log-buffer entries 1024
ip arp inspection log-buffer logs 1024 interval 10
ios 接口命令：
ip dhcp snooping trust
ip arp inspection trust /* 定义哪些接口是信任接口，通常是网络设备接口， trunk 接口等
ip arp inspection limit rate 15 (pps) /* 定义接口每秒 arp 报文数量
对于没有使用 dhcp 设备可以采用下面办法：
arp access-list static-arp
permit ip host 10.66.227.5 mac host 0009.6b88.d387
ip arp inspection filter static-arp vlan 201