arp高速緩存的概念

『壹』 ARP緩存的作用是什麼

16. ARP緩存的 Key:能夠查看本地計算機或另一台計算機的arp高速緩存中的當前內容。此外，使用arp命令，也可以用人工方式輸入靜態的網卡物理/ip地址對，你可能會使用這種方式為預設網關和本地伺服器等常用主機進行這項作，有助於減少網路上的信息量 Key:arp -a或arp -g用於查看高速緩存中的所有項目 Key:在命令使用arp-s IP （物理地址）進行綁定，它是手工設置，通信是可以直接訪問那台設備。 Key:三層二層都有 Key:mac地址 Key:有，包括目標IP，源IP，目標MAC，源MAC信息 Key:20位位元組 Key:協議是NetBIOS，能路由 Key:路由是指為一條信息選擇最佳線路傳輸路徑的過程。 路由表供路由選擇時使用。路由表就像我們平時使用的地圖一樣，標識著各種路線，路由表中保存著子網的標志信息、網上路由器的個數和下一個路由器的名字等內 容。路由表可以是由系統管理員固定設置好的，也可以由系統動態修改，可以由路由器自動調整，也可以由主機控制。 路由協議是實現路由演算法的協議，簡單地說，它給網路協議做導向。路由協議如：IGRP、EIGRP、OSPF、EGP、BGP、IS-IS及RIP等。 Key:靜態路由是在路由器中設置的固定的路由表。除非網路管理員干預，否則靜態路由 不會發生變化。由於靜態路由不能對網路的改變作出反映，一般用於網路規模大、拓 撲結構固定的網路中。靜態路由的優點是簡單、高效、可靠。在所有的路由中，靜態路 由優先順序最高。當動態路由與靜態路由發生沖突時，以靜態路由為准。動態路由是網路中的路由器之間相互通信，傳遞路由信息，利用收到的路由信息更新路由器表 的過程。它能實時地適應網路結構的變化。如果路由更新信息表明發生了網路變化，路由選擇軟體就會重新計算路由，並發出新的路由更新信息。這些信息通過各個 網路，引起各路由器重新啟動其路由演算法，並更新各自的路由表以動態地反映網路拓撲變化。動態路由適用於網路規模大、網路拓撲復雜的網路。當然，各種動態路 由協議 會不同程度地佔用網路帶寬和CPU資源靜態路由和動態路由有各自的特點和適用范圍，因此在網路中動態路由通常作為靜態路由的補充。當一個分組在路由器中進 行尋徑時，路由器首先查找靜態路由，如果查到則根據相應的靜態路由轉發分組；否則再查找動態路由根據是否在一個自治域內部使用，動態路由協議分為內部網關 協議（IGP）和外部網關協議（EGP）。這里的自治域指一個具有統一管理機構、統一路由策略的網路。自治域內部採用的路由選擇協議稱為內部網關協議，常 用的有RIP、OSPF；外部網關協議 Key:距離矢量路由協議和鏈路狀態路由協議 Key:ip route 0.0.0.0 0.0.0.0 x.x.x.x Key: 255.255.255.255是廣播地址，向所有路由發包。 Key:0.0.0.0 是無效地址 ping 了後 會顯示 destination specified is invalid（無效地址） Key:172.16.255.255是向區域網內發送廣播，255.255.255.255是向全網內發送廣播 Key:使用網路層協議ICMP，ICMP數據包 Key:因為一個網路如果沒有分層，它是無法管理的，需要有一定的層次結構才能有效的實現網路的通信。 Key:OSI它分層結構復雜，難於管理，OSI分7層也不利於網路的通信，多一層網路的消耗和開銷就增加。 現實用的是TCP/IP ，TCP/IP分層結構清晰，便於人們有效的分析它每層的信息，它將OSI的上功能三層進行合並，用一個應用層實現其功能.

『貳』 ARP是什麼東西！！

RP實際上是英文片語Address Resolution Protocol的簡稱，它的中文名叫做地址解析協議。

它主要指的就是根據電腦的ip地址獲取到的一個物理地址上的ip協議，arp是建立在網路中各個主機之間互相信任的前提下，它還可以對本機ARP緩存中的的ip地址以及mac地址這兩者的對應關系進行排查，由此做出添加以及刪除各種靜態對應關系等等。

現在我們常見的相關協議有rarp、代理arp等等，如果ndp的用戶還能在IPv6中來代替arp。

解決辦法

根據主機A上的路由表內容，IP確定用於訪問主機B的轉發IP地址是192.168.1.2。然後A主機在自己的本地ARP緩存中檢查主機B的匹配MAC地址。

如果主機A在ARP緩存中沒有找到映射，它將詢問192.168.1.2的硬體地址，從而將ARP請求幀廣播到本地網路上的所有主機。

源主機A的IP地址和MAC地址都包括在ARP請求中，本地網路上的每台主機都接收到ARP請求並且檢查是否與自己的IP地址匹配。如果主機發現請求的IP地址與自己的IP地址不匹配，它將丟棄ARP請求。

主機B確定ARP請求中的IP地址與自己的IP地址匹配，則將主機A的IP地址和MAC地址映射添加到本地ARP緩存中。

主機B將包含其MAC地址的ARP回復消息直接發送回主機A。

當主機A收到從主機B發來的ARP回復消息時，會用主機B的IP和MAC地址映射更新ARP緩存。本機緩存是有生存期的，生存期結束後，將再次重復上面的過程。主機B的MAC地址一旦確定，主機A就能向主機B發送IP通信了。

(2)arp高速緩存的概念擴展閱讀

防護原理

防止ARP攻擊是比較困難的,修改協議也是不大可能。但是有一些工作是可以提高本地網路的安全性。

首先，你要知道，如果一個錯誤的記錄被插入ARP或者IP route表，可以用兩種方式來刪除。

a. 使用arp –d host_entry

ARP斷網攻擊

b. 自動過期，由系統刪除

這樣，可以採用以下的一些方法：

減少過期時間

#ndd –set /dev/arp arp_cleanup_interval 60000

#ndd -set /dev/ip ip_ire_flush_interval 60000

60000=60000毫秒 默認是300000

加快過期時間，並不能避免攻擊，但是使得攻擊更加困難，帶來的影響是在網路中會大量的出現ARP請求和回復，請不要在繁忙的網路上使用。

參考資料：網路-ARP攻擊

『叄』 ARP 是什麼。用來做什麼的

網路命令一覽表（絕對實用）

當你打開瀏覽器，自由地游弋於浩如煙海的互聯網世界之時，是否也沉迷於下載各種實用軟體？其中也許有很大一部分就是網路工具吧！但請你不要忽視你的面前——windows（包括win98和nt）作系統中本來就帶有不少的網路實用工具，雖然比較簡單，卻並不簡陋。本著「簡單就是美」的原則，下面就為你展現windows網路實用工具的豐采……

ping

ping是個使用頻率極高的實用程序，用於確定本地主機是否能與另一台主機交換（發送與接收）數據報。根據返回的信息，你就可以推斷tcp/ip參數是否設置得正確以及運行是否正常。需要注意的是：成功地與另一台主機進行一次或兩次數據報交換並不表示tcp/ip配置就是正確的，你必須執行大量的本地主機與遠程主機的數據報交換，才能確信tcp/ip的正確性。

簡單的說，ping就是一個測試程序，如果ping運行正確，你大體上就可以排除網路訪問層、網卡、modem的輸入輸出線路、電纜和路由器等存在的故障，從而減小了問題的范圍。但由於可以自定義所發數據報的大小及無休止的高速發送，ping也被某些別有用心的人作為ddos（拒絕服務攻擊）的工具，前段時間yahoo就是被黑客利用數百台可以高速接入互聯網的電腦連續發送大量ping數據報而癱瘓的。

按照預設設置，windows上運行的ping命令發送4個icmp（網間控制報文協議）回送請求，每個32位元組數據，如果一切正常，你應能得到4個回送應答。

ping能夠以毫秒為單位顯示發送回送請求到返回回送應答之間的時間量。如果應答時間短，表示數據報不必通過太多的路由器或網路連接速度比較快。ping還能顯示ttl（time to live存在時間）值，你可以通過ttl值推算一下數據包已經通過了多少個路由器：源地點ttl起始值（就是比返回ttl略大的一個2的乘方數）-返回時ttl值。例如，返回ttl值為119，那麼可以推算數據報離開源地址的ttl起始值為128，而源地點到目標地點要通過9個路由器網段（128-119）；如果返回ttl值為246，ttl起始值就是256，源地點到目標地點要通過9個路由器網段。

通過ping檢測網路故障的典型次序

正常情況下，當你使用ping命令來查找問題所在或檢驗網路運行情況時，你需要使用許多ping命令，如果所有都運行正確，你就可以相信基本的連通性和配置參數沒有問題；如果某些ping命令出現運行故障，它也可以指明到何處去查找問題。下面就給出一個典型的檢測次序及對應的可能故障：

ping 127.0.0.1——這個ping命令被送到本地計算機的ip軟體，該命令永不退出該計算機。如果沒有做到這一點，就表示tcp/ip的安裝或運行存在某些最基本的問題。

ping 本機ip——這個命令被送到你計算機所配置的ip地址，你的計算機始終都應該對該ping命令作出應答，如果沒有，則表示本地配置或安裝存在問題。出現此問題時，區域網用戶請斷開網路電纜，然後重新發送該命令。如果網線斷開後本命令正確，則表示另一台計算機可能配置了相同的ip地址。

ping 區域網內其他ip——這個命令應該離開你的計算機，經過網卡及網路電纜到達其他計算機，再返回。收到回送應答表明本地網路中的網卡和載體運行正確。但如果收到0個回送應答，那麼表示子網掩碼（進行子網分割時，將ip地址的網路部分與主機部分分開的代碼）不正確或網卡配置錯誤或電纜系統有問題。

ping 網關ip——這個命令如果應答正確，表示區域網中的網關路由器正在運行並能夠作出應答。

ping 遠程ip——如果收到4個應答，表示成功的使用了預設網關。對於撥號上網用戶則表示能夠成功的訪問internet（但不排除isp的dns會有問題）。

ping localhost——localhost是個作系統的網路保留名，它是127.0.0.1的別名，每太計算機都應該能夠將該名字轉換成該地址。如果沒有做到這一帶內，則表示主機文件（/windows/host）中存在問題。

ping http://www.yahoo.com" www.yahoo.com——對這個域名執行ping命令，你的計算機必須先將域名轉換成ip地址，通常是通過dns伺服器 如果這里出現故障，則表示dns伺服器的ip地址配置不正確或dns伺服器有故障（對於撥號上網用戶，某些isp已經不需要設置dns伺服器了）。順便說一句：你也可以利用該命令實現域名對ip地址的轉換功能。

如果上面所列出的所有ping命令都能正常運行，那麼你對你的計算機進行本地和遠程通信的功能基本上就可以放心了。但是，這些命令的成功並不表示你所有的網路配置都沒有問題，例如，某些子網掩碼錯誤就可能無法用這些方法檢測到。

ping命令的常用參數選項

ping ip -t——連續對ip地址執行ping命令，直到被用戶以ctrl c中斷。

ping ip -l 2000——指定ping命令中的數據長度為2000位元組，而不是預設的32位元組。

ping ip -n——執行特定次數的ping命令。

netstat

netstat用於顯示與ip、tcp、udp和icmp協議相關的統計數據，一般用於檢驗本機各埠的網路連接情況。

如果你的計算機有時候接受到的數據報會導致出錯數據刪除或故障，你不必感到奇怪，tcp/ip可以容許這些類型的錯誤，並能夠自動重發數據報。但如果累計的出錯情況數目佔到所接收的ip數據報相當大的百分比，或者它的數目正迅速增加，那麼你就應該使用netstat查一查為什麼會出現這些情況了。

netstat的一些常用選項：

netstat -s——本選項能夠按照各個協議分別顯示其統計數據。如果你的應用程序（如web瀏覽器）運行速度比較慢，或者不能顯示web頁之類的數據，那麼你就可以用本選項來查看一下所顯示的信息。你需要仔細查看統計數據的各行，找到出錯的關鍵字，進而確定問題所在。

netstat -e——本選項用於顯示關於乙太網的統計數據。它列出的項目包括傳送的數據報的總位元組數、錯誤數、刪除數、數據報的數量和廣播的數量。這些統計數據既有發送的數據報數量，也有接收的數據報數量。這個選項可以用來統計一些基本的網路流量）。

netstat -r——本選項可以顯示關於路由表的信息，類似於後面所講使用route print命令時看到的 信息。除了顯示有效路由外，還顯示當前有效的連接。

netstat -a——本選項顯示一個所有的有效連接信息列表，包括已建立的連接（established），也包括監聽連接請求（listening）的那些連接。

netstat -n——顯示所有已建立的有效連接。

netstat的妙用

經常上網的人一般都使用icq的，不知道你有沒有被一些討厭的人騷擾得不敢上線，想投訴卻又不知從和下手？其實，你只要知道對方的ip，就可以向他所屬的isp投訴了。但怎樣才能通過icq知道對方的ip呢？如果對方在設置icq時選擇了不顯示ip地址，那你是無法在信息欄中看到的。其實，你只需要通過netstat就可以很方便的做到這一點：當他通過icq或其他的工具與你相連時（例如你給他發一條icq信息或他給你發一條信息），你立刻在dos prompt下輸入netstat -n或netstat -a就可以看到對方上網時所用的ip或isp域名了。甚至連所用port都完全暴露了，如果你想給他一些教訓，這些信息已經足夠……

ipconfig

ipconfig實用程序和它的等價圖形用戶界面——windows 95/98中的winipcfg可用於顯示當前的tcp/ip配置的設置值。這些信息一般用來檢驗人工配置的tcp/ip設置是否正確。但是，如果你的計算機和所在的區域網使用了動態主機配置協議（dynamic host configuration protocol，dhcp——windows nt下的一種把較少的ip地址分配給較多主機使用的協議，類似於撥號上網的動態ip分配），這個程序所顯示的信息也許更加實用。這時，ipconfig可以讓你了解你的計算機是否成功的租用到一個ip地址，如果租用到則可以了解它目前分配到的是什麼地址。了解計算機當前的ip地址、子網掩碼和預設網關實際上是進行測試和故障分析的必要項目。

最常用的選項：

ipconfig——當使用ipconfig時不帶任何參數選項，那麼它為每個已經配置了的介面顯示ip地址、子網掩碼和預設網關值

ipconfig /all——當使用all選項時，ipconfig能為dns和wins伺服器顯示它已配置且所要使用的附加信息（如ip地址等），並且顯示內置於本地網卡中的物理地址（mac）。如果ip地址是從dhcp伺服器租用的，ipconfig將顯示dhcp伺服器的ip地址和租用地址預計失效的日期（有關dhcp伺服器的相關內容請詳見其他有關nt伺服器的書籍或詢問你的網管），其輸出信息見圖6的下半部分。

ipconfig /release和ipconfig /renew——這是兩個附加選項，只能在向dhcp伺服器租用其ip地址的計算機上起作用。如果你輸入ipconfig /release，那麼所有介面的租用ip地址便重新交付給dhcp伺服器（歸還ip地址）。如果你輸入ipconfig /renew，那麼本地計算機便設法與dhcp伺服器取得聯系，並租用一個ip地址。請注意，大多數情況下網卡將被重新賦予和以前所賦予的相同的ip地址。

如果你使用的是windows 95/98，那麼你應該更習慣使用winipcfg而不是ipconfig，因為它是一個圖形用戶界面，而且所顯示的信息與ipconfig相同，並且也提供發布和更新動態ip地址的選項 如果你購買了windows nt resource kit（nt資源包），那麼windows nt也包含了一個圖形替代界面，該實用程序的名字是wntipcfg，和windows 95/98的winipcfg類似。

arp（地址轉換協議）

arp是一個重要的tcp/ip協議，並且用於確定對應ip地址的網卡物理地址。實用arp命令，你能夠查看本地計算機或另一台計算機的arp高速緩存中的當前內容。此外，使用arp命令，也可以用人工方式輸入靜態的網卡物理/ip地址對，你可能會使用這種方式為預設網關和本地伺服器等常用主機進行這項作，有助於減少網路上的信息量。

按照預設設置，arp高速緩存中的項目是動態的，每當發送一個指定地點的數據報且高速緩存中不存在當前項目時，arp便會自動添加該項目。一旦高速緩存的項目被輸入，它們就已經開始走向失效狀態。例如，在windows nt網路中，如果輸入項目後不進一步使用，物理/ip地址對就會在2至10分鍾內失效。因此，如果arp高速緩存中項目很少或根本沒有時，請不要奇怪，通過另一台計算機或路由器的ping命令即可添加。所以，需要通過arp命令查看高速緩存中的內容時，請最好先ping 此台計算機（不能是本機發送ping命令）。

常用命令選項：

arp -a或arp -g——用於查看高速緩存中的所有項目。-a和-g參數的結果是一樣的，多年來-g一直是unix平台上用來顯示arp高速緩存中所有項目的選項，而windows用的是arp -a（-a可被視為all，即全部的意思），但它也可以接受比較傳統的-g選項。

arp -a ip——如果你有多個網卡，那麼使用arp -a加上介面的ip地址，就可以只顯示與該介面相關的arp緩存項目。

arp -s ip 物理地址——你可以向arp高速緩存中人工輸入一個靜態項目。該項目在計算機引導過程中將保持有效狀態，或者在出現錯誤時，人工配置的物理地址將自動更新該項目。

arp -d ip——使用本命令能夠人工刪除一個靜態項目。



看到這里，你也許已經有些累了……其實對於一般用戶來說也已經足夠——你可以用ipconfig和ping命令來查看自己的網路配置並判斷是否正確、可以用netstat查看別人與你所建立的連接並找出icq使用者所隱藏的ip信息、可以用arp查看網卡的mac地址——這些已足已讓你丟掉菜鳥的頭銜。如果你並不滿足，那就「硬著頭皮」（下面的內容可能有些枯燥）繼續follow me……

tracert

當數據報從你的計算機經過多個網關傳送到目的地時，tracert命令可以用來跟蹤數據報使用的路由（路徑）。該實用程序跟蹤的路徑是源計算機到目的地的一條路徑，不能保證或認為數據報總遵循這個路徑。如果你的配置使用dns，那麼你常常會從所產生的應答中得到城市、地址和常見通信公司的名字。tracert是一個運行得比較慢的命令（如果你指定的目標地址比較遠），每個路由器你大約需要給它15秒鍾
tracert的使用很簡單，只需要在tracert後面跟一個ip地址或url，tracert會進行相應的域名轉換的。tracert一般用來檢測故障的位置，你可以用tracert ip在哪個環節上出了問題，雖然還是沒有確定是什麼問題，但它已經告訴了我們問題所在的地方，你也就可以很有把握的告訴別人——某某出了問題。

route

大多數主機一般都是駐留在只連接一台路由器的網段上。由於只有一台路由器，因此不存在使用哪一台路由器將數據報發表到遠程計算機上去的問題，該路由器的ip地址可作為該網段上所有計算機的預設網關來輸入。

但是，當網路上擁有兩個或多個路由器時，你就不一定想只依賴預設網關了。實際上你可能想讓你的某些遠程ip地址通過某個特定的路由器來傳遞，而其他的遠程ip則通過另一個路由器來傳遞。

在這種情況下，你需要相應的路由信息，這些信息儲存在路由表中，每個主機和每個路由器都配有自己獨一無二的路由表。大多數路由器使用專門的路由協議來交換和動態更新路由器之間的路由表。但在有些情況下，必須人工將項目添加到路由器和主機上的路由表中。route就是用來顯示、人工添加和修改路由表項目的。

一般使用選項：

route print——本命令用於顯示路由表中的當前項目，在單路由器網段上的輸出結果如圖12，由於用ip地址配置了網卡，因此所有的這些項目都是自動添加的。

route add——使用本命令，可以將信路由項目添加給路由表。例如，如果要設定一個到目的網路209.98.32.33的路由，其間要經過5個路由器網段，首先要經過本地網路上的一個路由器，器ip為202.96.123.5，子網掩碼為255.255.255.224，那麼你應該輸入以下命令：

route add 209.98.32.33 mask 255.255.255.224 202.96.123.5 metric 5

route change——你可以使用本命令來修改數據的傳輸路由，不過，你不能使用本命令來改變數據的目的地。下面這個例子可以將數據的路由改到另一個路由器，它採用一條包含3個網段的更直的路徑：

route add 209.98.32.33 mask 255.255.255.224 202.96.123.250 metric 3

route delete——使用本命令可以從路由表中刪除路由。例如：route delete 209.98.32.33

nbtstat

nbtstat（tcp/ip上的netbios統計數據）實用程序用於提供關於關於netbios的統計數據。運用netbios，你可以查看本地計算機或遠程計算機上的netbios名字表格。

常用選項：

nbtstat -n——顯示寄存在本地的名字和服務程序

nbtstat -c——本命令用於顯示netbios名字高速緩存的內容。netbios名字高速緩存用於寸放與本計算機最近進行通信的其他計算機的netbios名字和ip地址對。

nbtstat -r——本命令用於清除和重新載入netbios名字高速緩存。

nbtstat -a ip——通過ip顯示另一台計算機的物理地址和名字列表，你所顯示的內容就像對方計算機自己運行nbtstat -n一樣

nbtstat -s ip——顯示實用其ip地址的另一台計算機的netbios連接表。

net

net命令有很多函數用於實用和核查計算機之間的netbios連接。這里我只介紹最常用的兩個：net view和net use。

net view unc——運用此命令，你可以查看目標伺服器上的共享點名字。任何區域網里的人都可以發出此命令，而且不需要提供用戶id或口令。unc名字總是以\\開頭，後面跟隨目標計算機的名字。例如，net view \\lx就是查看主機名為lx的計算機的共享點（見圖15）。

net use 本地盤符 目標計算機共享點——本命令用於建立或取消到達特定共享點的映像驅動器的連接（如果需要，你必須提供用戶id或口令）。例如，你輸入net use f: \\lx\mp3就是將映像驅動器f:連接到\\lx\mp3共享點上，今後你直接訪問f:就可以訪問\\lx\mp3共享點，這和你右擊「我的電腦」選擇映射網路驅動器類似。

『肆』 主機中的arp高速緩存用於存放什麼信息怎麼查看

開始—>運行—>輸入cmd,確定—>輸入arp -d（注意-前有個空格）就是清除ARP緩存。
arp命令允許用戶查看和修改arp告訴緩存。如果同一子網的兩台主機不能成功的PING到對方，可以在每台計算機上運行命令arp -a查看是否有各自正確的MAC地址。而arp -d，後面加上IP的命令的意思就是從arp高速緩存中刪除列出的項。

在區域網中，通過ARP協議來完成IP地址轉換為第二層物理地址（即MAC地址）的.通過偽造IP地址和MAC地址,造成產生大量的ARP通信量使網路阻塞叫ARP欺騙

『伍』 為什麼要設置arp高速緩存ARP的TTL值設置過大或過小會有什麼影響

設置ARP高速緩存是為了加快IP到MAC地址查詢的速度。
TTL（Time To Live）生存時間，也就是伺服器允許數據在緩存中存放的時間。該值設置的過小，數據更新的更頻繁，數據在網路中的一致性就越高，但是這樣增加了伺服器的負擔，使得名字解析時間變長。TTL越大，名字解析時間就越短。但是數據在緩存中存放的時間過長，緩存中的數據可能過時，跟伺服器上的數據不一致。

『陸』 怎樣理解ARP

1.首先給大家說說什麼是ARP ARP（Address Resolution Protocol）是地址解析協議，是一種將IP地址轉化成物理地址的協議。從IP地址到物理地址的映射有兩種方式：表格方式和非表格方式。ARP具體說來就是將網路層（IP層，也就是相當於OSI的第三層）地址解析為數據連接層（MAC層，也就是相當於OSI的第二層）的MAC地址。 原理：某機器A要向主機B發送報文，會查詢本地的ARP緩存表，找到B的IP地址對應的MAC地址後，就會進行數據傳輸。如果未找到，則廣播A一個ARP請求報文（攜帶主機A的IP地址Ia——物理地址Pa），請求IP地址為Ib的主機B回答物理地址Pb。網上所有主機包括B都收到ARP請求，但只有主機B識別自己的IP地址，於是向A主機發回一個ARP響應報文。其中就包含有B的MAC地址，A接收到B的應答後，就會更新本地的ARP緩存。接著使用這個MAC地址發送數據（由網卡附加MAC地址）。因此，本地高速緩存的這個ARP表是本地網路流通的基礎，而且這個緩存是動態的。

『柒』 ARP高速緩存有什麼用的

首先要了解ARP協議的基本內容，就是當僅僅知道對方主機的IP地址要求獲取對方的MAC地址。
ARP高速緩存里邊保存了之前進行ARP會話時返回的ARP應答中的IP地址和MAC地址對應列表。一般一條記錄保存20分鍾左右。
目的是：下次再要訪問ARP高速緩存中的IP地址的主機時，不需要再次發送ARP請求去獲取MAC地址。直接從高速緩存中讀取就可以了。可以有效緩解鏈路的壓力。

『捌』 arp緩存表有什麼用

就是保存ip、mac的對應關系，有新的ARP請求就會刷新ip、mac對應關系，arp欺騙就是通過發送大量的arp、數據包刷新arp表進行欺騙的。P2P終結者,聚生網管之類的軟體都是通過arp欺騙進行限速和管理的，影響網路的穩定和速度。arp是個老大難的問題，據我了解，目前比較好的解決方案是巡路免疫網路解決方案，有興趣的朋友可以了解一下

『玖』 arp的概念

想了解的進ARP攻擊的原理，現象，和解決方法是什麼？

1.首先給大家說說什麼是ARP
ARP（Address Resolution Protocol）是地址解析協議，是一種將IP地址轉化成物理地址的協議。從IP地址到物理地址的映射有兩種方式：表格方式和非表格方式。ARP具體說來就是將網路層（IP層，也就是相當於OSI的第三層）地址解析為數據連接層（MAC層，也就是相當於OSI的第二層）的MAC地址。
ARP原理：某機器A要向主機B發送報文，會查詢本地的ARP緩存表，找到B的IP地址對應的MAC地址後，就會進行數據傳輸。如果未找到，則廣播A一個ARP請求報文（攜帶主機A的IP地址Ia——物理地址Pa），請求IP地址為Ib的主機B回答物理地址Pb。網上所有主機包括B都收到ARP請求，但只有主機B識別自己的IP地址，於是向A主機發回一個ARP響應報文。其中就包含有B的MAC地址，A接收到B的應答後，就會更新本地的ARP緩存。接著使用這個MAC地址發送數據（由網卡附加MAC地址）。因此，本地高速緩存的這個ARP表是本地網路流通的基礎，而且這個緩存是動態的。

ARP協議並不只在發送了ARP請求才接收ARP應答。當計算機接收到ARP應答數據包的時候，就會對本地的ARP緩存進行更新，將應答中的IP和MAC地址存儲在ARP緩存中。因此，當區域網中的某台機器B向A發送一個自己偽造的ARP應答，而如果這個應答是B冒充C偽造來的，即IP地址為C的IP，而MAC地址是偽造的，則當A接收到B偽造的ARP應答後，就會更新本地的ARP緩存，這樣在A看來C的IP地址沒有變，而它的MAC地址已經不是原來那個了。由於區域網的網路流通不是根據IP地址進行，而是按照MAC地址進行傳輸。所以，那個偽造出來的MAC地址在A上被改變成一個不存在的MAC地址，這樣就會造成網路不通，導致A不能Ping通C！這就是一個簡單的ARP欺騙。

2.網路執法官利用的就是這個原理！

在網路執法官中，要想限制某台機器上網，只要點擊"網卡"菜單中的"許可權"，選擇指定的網卡號或在用戶列表中點擊該網卡所在行，從右鍵菜單中選擇"許可權"，在彈出的對話框中即可限制該用戶的許可權。對於未登記網卡，可以這樣限定其上線：只要設定好所有已知用戶（登記）後，將網卡的默認許可權改為禁止上線即可阻止所有未知的網卡上線。使用這兩個功能就可限制用戶上網。其原理是通過ARP欺騙發給被攻擊的電腦一個假的網關IP地址對應的MAC，使其找不到網關真正的MAC地址，這樣就可以禁止其上網。

3.修改MAC地址突破網路執法官的封鎖

根據上面的分析，我們不難得出結論：只要修改MAC地址，就可以騙過網路執法官的掃描，從而達到突破封鎖的目的。下面是修改網卡MAC地址的方法：
在"開始"菜單的"運行"中輸入regedit，打開注冊表編輯器，展開注冊表到：HKEY_LOCAL_
MACHINE/System/CurrentControl
Set/Control/Class/{4D36E972-E325-11CE-BFC1-08002BE103
18}子鍵，在子鍵下的0000，0001，0002等分支中查找DriverDesc（如果你有一塊以上的網卡，就有0001，0002......在這里保存了有關你的網卡的信息，其中的DriverDesc內容就是網卡的信息描述，比如我的網卡是Intel 210
41 based Ethernet Controller），在這里假設你的網卡在0000子鍵。
在0000子鍵下添加一個字元串，命名為"NetworkAddress"，鍵值為修改後的MAC地址，要求為連續的12個16進制數。然後在"0000"子鍵下的NDI/params中新建一項名為NetworkAddress的子鍵，在該子鍵下添加名為"default"的字元串，鍵值為修改後的MAC地址。
在NetworkAddress的子鍵下繼續建立名為"ParamDesc"的字元串，其作用為指定Network
Address的描述，其值可為"MAC Address"。這樣以後打開網路鄰居的"屬性"，雙擊相應的網卡就會發現有一個"高級"設置，其下存在MAC Address的選項，它就是你在注冊表中加入的新項"NetworkAddress"，以後只要在此修改MAC地址就可以了。
關閉注冊表，重新啟動，你的網卡地址已改。打開網路鄰居的屬性，雙擊相應網卡項會發現有一個MAC Address的高級設置項，用於直接修改MAC地址。

MAC地址也叫物理地址、硬體地址或鏈路地址，由網路設備製造商生產時寫在硬體內部。這個地址與網路無關，即無論將帶有這個地址的硬體（如網卡、集線器、路由器等）接入到網路的何處，它都有相同的MAC地址，MAC地址一般不可改變，不能由用戶自己設定。MAC地址通常表示為12個16進制數，每2個16進制數之間用冒號隔開，如：08:00:20:0A:8C:6D就是一個MAC地址，其中前6位16進制數，08:00:20代表網路硬體製造商的編號，它由IEEE分配，而後3位16進制數0A:8C:6D代表該製造商所製造的某個網路產品（如網卡）的系列號。每個網路製造商必須確保它所製造的每個乙太網設備都具有相同的前三位元組以及不同的後三個位元組。這樣就可保證世界上每個乙太網設備都具有唯一的MAC地址。

另外，網路執法官的原理是通過ARP欺騙發給某台電腦有關假的網關IP地址所對應的MAC地址，使其找不到網關真正的MAC地址。因此，只要我們修改IP到MAC的映射就可使網路執法官的ARP欺騙失效，就隔開突破它的限制。你可以事先Ping一下網關，然後再用ARP -a命令得到網關的MAC地址，最後用ARP -s IP 網卡MAC地址命令把網關的IP地址和它的MAC地址映射起來就可以了。

4.找到使你無法上網的對方

解除了網路執法官的封鎖後，我們可以利用Arpkiller的"Sniffer殺手"掃描整個區域網IP段，然後查找處在"混雜"模式下的計算機，就可以發現對方了。具體方法是：運行Arpkiller（圖2），然後點擊"Sniffer監測工具"，在出現的"Sniffer殺手"窗口中輸入檢測的起始和終止IP（圖3），單擊"開始檢測"就可以了。
檢測完成後，如果相應的IP是綠帽子圖標，說明這個IP處於正常模式，如果是紅帽子則說明該網卡處於混雜模式。它就是我們的目標，就是這個傢伙在用網路執法官在搗亂。

掃描時自己也處在混雜模式，把自己不能算在其中哦！

找到對方後怎麼對付他就是你的事了，比方說你可以利用網路執法官把對方也給封鎖了！:-)