背景
ARP 欺騙會導致區網斷網、資料竊取。企業可靠制度約束，但網吧面對不特定顧客，只能從技術層面防範。
方法一：Sniffer 封包偵測
- 部署 Sniffer（如 Wireshark）監聽核心交換器鏡像埠。
- 正常 ARP 封包中，Ethernet 幀的來源 MAC 應與 ARP 承載的發送者 MAC 一致；若不符即為偽造封包。
- 結合預先建立的「座位號-MAC 地址」資料庫（首次佈署時用
ipconfig /all 記錄），即可快速定位攻擊源電腦。
方法二：DHCP 靜態綁定 MAC-IP
- 在 Windows Server / 路由器上架設 DHCP 服務，建立地址池並為每張網卡設定「保留」——綁定固定 IP，租約設為極長（如 1 年或永久）。
- 建立 MAC 地址資料庫（Excel 或 DB），記錄 MAC、IP、物理位置（座位號）。
- 在閘道器/核心交換器關閉「ARP 動態更新」，改用靜態 ARP 表。即使攻擊者發送偽造 ARP，閘道器也不會更新錯誤對應，保護網路通訊正常。
方法三：交換器層面防禦（補充）
- 啟用 DHCP Snooping、Dynamic ARP Inspection (DAI)、IP Source Guard 等二層安全功能，從交換器底層阻斷偽造封包。
- 配合 802.1X 認證，未授權裝置無法接入網路。
綜合採用「偵測+綁定+靜態化+交換器防禦」多層次策略，可有效杜絕 ARP 欺騙。