[发明专利]一种适用于虚拟机的ARP攻击双向防护方法

权利要求书

1.一种适用于虚拟机的ARP攻击双向防护方法，其特征在于：

包括如下步骤：

步骤1：在宿主物理机上安装网络数据包过滤工具，用于过滤数据链路层数据包；

步骤2：在网络数据包过滤工具上建立虚拟网络所有网关的IP地址到MAC地址之间的映射关系，直接丢弃外部具有错误映射关系的数据包，防止外部的攻击篡改虚拟机的网关；

步骤3：虚拟机创建时，在网络数据包过滤工具上建立NAT链表；

步骤4：虚拟机创建后，在网络数据包过滤工具上建立虚拟机的MAC地址与IP地址之间的映射关系，直接丢弃外部具有错误映射关系的数据包，防止外部的攻击篡改虚拟机的MAC地址，影响虚拟机与外部的通信；

步骤5：在虚拟机的NAT链表中加入子链表，并在子链表上加入虚拟机MAC地址与IP地址之间的映射关系，只允许具有正确映射关系的数据包发送到宿主机外部。

2.根据权利要求1所述的适用于虚拟机的ARP攻击双向防护方法，其特征在于：所述的网络数据包过滤工具可以是Linux下的ebtables。

3.根据权利要求1或2所述的适用于虚拟机的ARP攻击双向防护方法，其特征在于：所述的修改虚拟机IP时，相应的更新虚拟机子链表的规则；

所述的子链表规则，在删除虚拟机时，同时删除规则，避免出现冗余。