Это очень начальный вопрос. Мы знаем, что протокол ARP совсем не безопасен. Компьютеры и маршрутизаторы (/switchs) доверяют ARP-ответам и обновляют свои ARP-кэши (насколько я знаю). Итак, почему беспроводные маршрутизаторы не могут обнаружить спуфинг ARP, если им нужно только проверить, что два или более интерфейсов в их кеше MAC имеют одинаковый MAC-адрес?
Я что-то упускаю?
Прежде всего потому, что это не очень простой ответ для предотвращения. Если на беспроводном маршрутизаторе не написано дополнительное программное обеспечение безопасности, маршрутизатор не сможет проверить, кто вы, как вы говорите. Он просто должен принимать пакеты, которые он видит, и что машина - это то, кем она является.
Основным способом предотвращения подмены arp является контроль доступа к сети. Маршрутизатор A получает учетную запись с именем пользователя / паролем для компьютера A. Когда компьютер A пытается подключиться, он должен указать это имя пользователя / пароль. Таким образом, маршрутизатор теперь знает, что MAC-адрес компьютера A авторизован по имени пользователя / паролю, а компьютер A знает, что маршрутизатор Mac аутентифицирован. Приходит хакерский компьютер B, пытается подделать arp, но маршрутизатор A не получает токен аутентификации от хакерского компьютера A, поэтому рассматривает его как недопустимый пакет и сбрасывает обновление arp. То же самое происходит с машиной A, она получает обновление arp от машины Hacker B, но пакет не проходит проверку подлинности, поэтому он отбрасывается.
Без этой аутентификации стандартный маршрутизатор не сможет узнать, что машина А на самом деле является машиной А, а не хакером.
Теперь все эти дополнительные аутентификации для каждого пакета требуют дополнительной мощности процессора. Чтобы маршрутизатор мог справиться с этим, он должен иметь лучший процессор и больше памяти, что делает его более дорогим и менее вероятным для выбора, когда люди смотрят только на цену.
Часто в беспроводных маршрутизаторах порты локальной сети и беспроводное радио используют одни и те же таблицы и логически объединяются в один интерфейс. (т.е. маршрутизатор действует больше как концентратор при маршрутизации трафика между локальной сетью и беспроводной сетью.)
Что касается внешнего (WAN) интерфейса, то это обычно двухточечный интерфейс (одна линия соединяется с другим маршрутизатором). Поэтому на другой стороне этого интерфейса есть только один IP/Mac, что касается беспроводного маршрутизатора.
Кроме того, вполне возможно, что один MAC-адрес имеет несколько IP-адресов, и для настроек балансировки нагрузки также возможно, что один IP-адрес используется несколькими компьютерами.
