HiPER 4240NB解决南昌国贸大酒店ARP攻击

　　随着中国国际商务交流日益频繁，国内商务活动更趋多元化，个性化和市场细分化，不断增长的中国本土商务需求，催生更多的精品型、时尚商务型和主题概念型等商务酒店品牌的诞生。人们对商务酒店的要求也不仅仅满足于栖息。无疑，商务酒店已经从传统的客栈模式转变成以商务为主、集娱乐、休闲、一体化的多功能中心。当您希望络绎不绝的游人入住您的酒店，并看到他们满意的笑容；您希望您的客人对您酒店的管理和服务都赞不绝口。这都缺少不了网络的支撑！

　　用户背景：

　　国贸酒店是按照四星级标准建造的涉外商务酒店，位于坛子口立交桥，至昌北机场有30分钟车程，至火车站有5分钟车程，交通便捷。酒店拥有各类客房，装修舒适豪华，格调高雅，设备齐全，为您提供一个温馨如家的感觉。酒店拥有多个风味各异的餐厅，轻松怡人的环境，精美的菜肴，周到的服务，令您回味无穷。 酒店国际会议中心富丽豪华，配备专业的会展设施，先进的视听设备，适合举办各种规模的会展及宴会，满足不同层次的需要，助您踏上成功之路。另外，酒店康体、娱乐设施齐备，设有室外游泳池，健体中心、俱乐部，让您在紧张的商务活动之后消闹尽兴，舒展身心。

　　网络环境与需求：

　　江西国贸大酒店总共有16层，每层都放置一个HUAWEI2403交换机，核心交换机用的也是HUAWEI 3026型号的，放置在机房里，在核心交换机上分别挂了各楼层的HUAWEI 2403交换机和FTP服务器、VOD（视频点播）服务器。其中FTP服务器与每客房电脑是在同一网段，然后VOD视频点播服务器独立一个网段。由于酒店人员的不定，商务人士自己带电脑到酒店上网，这样势必造成网络管理的混乱，存在ARP病毒隐患，所以江西国贸大酒店的网络要达到的目的是：一定要有效的防御ARP欺骗，然后又能实现每个楼层与楼层之间不能相互互访，且同楼层间的客房电脑也不可互访，而同时还需保证任何工作站访问FTP服务器和VOD服务器都不受到影响。

　　问题分析：

　　从上面江西国贸大酒店的网络环境及需求来看，目前遇到的最大问题是：ARP欺骗的侵扰。

　　ARP欺骗侵扰可以造成大量被欺骗的主机无法正常访问网络，让网关无法与PC通讯。实际上他的危害还不仅如此。系统不会判断ARP数据包的正确性。更甚的是，那些攻击者们可以利用诸多的黑客工具对主机或者路由器进行ARP欺骗。如此一来，在网络内的任何主机都可以控制其他主机的上网与否。ARP欺骗危害巨大并且难以诊断。它是酒店网络中不得不提到，也是最困扰酒店的问题，鉴于酒店行业的特殊性导致ARP欺骗的危害比一般的病毒和蠕虫大很多。ARP欺骗防御已经刻不容缓，您的酒店网络还能忍耐多久？

　　设想您的酒店在多业务数据的压力下也能运行顺畅，ARP欺骗等病毒将不再可怕，网络管理变的井井有条。这些正是上海艾泰科技能够帮您实现的目标：

　　- ARP欺骗解决方案，针对酒店网络应运而生

　　- 酒店内的主机需要高速的连入互连网以保证客人的网络服务需求

　　- 网络中心应该具有高可靠，高安全，同时将有多种冗余手段

　　- 酒店内部网络能实现隔离

　　- 坚固的安全防护，抵御病毒和DDoS的攻击

　　- 先进的管理系统，一键封（DDoS攻击防御、禁止QQ、禁止MSN、禁止P2P）、配合带宽限制，数据包过滤，使您的酒店网络井然有序；当然您还可以针对上述行为对个人或者组进行不同的管理

　　- 您酒店网络的专家门诊，我们的设备以及客服人员将及时的诊断您网络所出现的问题

　　方案概述：

　　江西国贸大酒店采用艾泰科技HiPER 4240NB四WAN高速智能宽带路由器。HiPER 4240NB使用业界领先的ReOS网络操作系统，并采用高性能的处理器，使得它在吞吐量和功能上较目前的多数宽带路由器更上一层。HiPER 4240NB接近线速的转发能力为在新形式下需要高转发能力、低时延、多线路接入的机构提供了强劲的动力，适合大中型酒店、运营商、学校、企业、网吧等。

　　在企业、网吧、机构等对付ARP欺骗病毒，我们都使用传统的双向绑定的方法，在路由器上绑定PC的IP/MAC，在PC上绑定路由器的IP/MAC，这样效果很好，也是目前最行之有效的方法。

　　但是，由于宾馆客房的客人自己提笔记本来上网，以致客房内的主机总是在不断的变化中，所以您很难实施双向绑定。

　　特此，艾泰科技针对国贸宾馆的特殊性质，提出了以下解决方案，

　　解决路由器被ARP欺骗的问题；绝大多数的酒店采用DHCP技术来将IP分配给上网的客人们，我们的新一代软件版本ReOS VSTART根据这个特点对路由器DHCP动态分配IP地址的主机自动进行ARP绑定，待该IP租约到期未续租时则自动解除该ARP绑定。这样当路由器收到内网虚假的ARP信息时就会拒绝。

　　不要寄希望您的客人会自觉的在笔记本上做ARP绑定。要保证在主机上的ARP信息的正确性，我们可以在HiPER 4240NB上开启ARP广播。该功能使HiPER在一定的频率内发送申明自己的ARP广播包(免费ARP)，从而使客户机学习到正确的路由ARP信息。

　　在实现不能互访功能时，我们采用在华为交换机上做端口VLAN来实现客房与客房、楼层与楼层间隔离，同时又不影响您的VOD服务器以及FTP服务器的访问。

　　网络方案拓扑图：

　　方案特点：

　　实施效果：

　　国贸酒店在使用HiPER 4240NB路由器后，网络问题比先前稳定许多，也没有用户打电话抱怨上不了网。不但杜绝了ARP欺骗病毒，也实现了工作站与工作站之间隔离的功能，使他们的网络管理大大得到简化与方便。

　　艾泰科技HiPER系列产品是符合中小企业和中国网络市场的产品；同时我们完善的服务及技术支持，为产品的稳定运行提供了有力的保障。