arpwatch 实例

ARPWatch 是一个网络监控工具，可以监控网络中的 ARP 请求和响应，以及检测 ARP 欺骗攻击。

以下是 ARPWatch 的一个示例：

1. 安装 ARPWatch

在 Ubuntu 系统中，可以使用以下命令安装 ARPWatch：

sudo apt-get install arpwatch

2. 配置 ARPWatch

在 Ubuntu 系统中，ARPWatch 的配置文件位于 `/etc/arpwatch.conf`。在配置文件中，可以设置 ARPWatch 的工作模式、日志文件路径等。

例如，以下配置将 ARPWatch 设置为监控网卡 enp0s3，并将日志文件保存到 /var/log/arpwatch/arpwatch.log：

eth0 -i enp0s3 -f /var/log/arpwatch/arpwatch.log

3. 启动 ARPWatch

使用以下命令启动 ARPWatch：

sudo systemctl start arpwatch

4. 监控 ARP 请求和响应

ARPWatch 会监控网络中的 ARP 请求和响应，并将其记录到日志文件中。例如，以下是 ARPWatch 记录的一条 ARP 请求信息：

[2021-01-01 12:00:00] 00:11:22:33:44:55 192.168.1.1 -> 00:aa:bb:cc:dd:ee 192.168.1.2

该信息表示，MAC 地址为 00:11:22:33:44:55 的主机请求了 IP 地址为 192.168.1.2 的主机的 MAC 地址，ARP 响应来自 MAC 地址为 00:aa:bb:cc:dd:ee 的主机。

5. 检测 ARP 欺骗攻击

ARPWatch 可以检测 ARP 欺骗攻击，当 ARPWatch 检测到 ARP 欺骗攻击时，会将其记录到日志文件中。

例如，以下是 ARPWatch 记录的一条 ARP 欺骗攻击信息：

[2021-01-01 12:00:00] flip flop 192.168.1.2 00:11:22:33:44:55 (00:aa:bb:cc:dd:ee)

该信息表示，IP 地址为 192.168.1.2 的主机的 MAC 地址在短时间内发生了变化，可能是受到了 ARP 欺骗攻击。MAC 地址从 00:11:22:33:44:55 变成了 00:aa:bb:cc:dd:ee。