區域網路中 IP 衝突、盜用頻發，輕則網路中斷，重則資安事件。本文從 TCP/IP 與 ARP 運作原理切入，詳細比較三種防盜用方案：ARP 紀錄分析、交換器管理功能、靜態路由綁定，助網管依環境選擇最適策略。

問題背景：為何會發生 IP 盜用？

• 靜態 IP 分配依賴使用者自行設定，缺乏強制管控。
• 使用者隨意更改 IP，導致三種後果：
  1. 非法網段 IP → 斷線（可被系統偵測）。
  2. 重複合法 IP → 衝突斷線（可被系統偵測）。
  3. 盜用他人合法 IP（且該主機離線） → 作業系統無法有效判別，危害最大。

核心原理：ARP 與 MAC 位址的唯一性

• MAC 位址（實體位址）由 IEEE 分配，全球唯一，燒錄於網卡晶片，難以竄改。
• IP 封包在區域網路傳輸前，需透過 ARP 協定將 IP 解析為 MAC。
• ARP 運作機制：發送者廣播 ARP Request，目標 IP 擁有者單播 ARP Reply 回覆 MAC；其他主機聽取並更新各自 ARP 快取。
• ARP 快取具動態更新特性，IP-MAC 對應隨時間變化自動修正。

三大防盜用方案詳細比較

方案	作法	優點	缺點	適用場景
1. ARP 紀錄分析	定時在核心交換器/伺服器執行 arp -a，將 IP-MAC 對應寫入資料庫，配合腳本比對歷史紀錄，自動偵測異常。	無需額外硬體；成本低；可事後稽核。	需人工判讀；對非衝突型盜用（離線盜用）有滯後性；無法即時阻斷。	中小型網路、預算有限、可接受事後稽核環境。
2. 交換器網管功能	啟用支援 IP-MAC-Port 綁定（如 3Com SuperStack II、Cisco DHCP Snooping / Dynamic ARP Inspection）的交換器功能，自動偵測衝突並鎖定埠號。	偵測快速準確；可定位到實體埠；硬體級防護。	需支援網管功能的交換器（成本較高）；仍需人工處理告警；對非衝突盜用滯後。	企業級網路、已部署智慧型交換器、需即時阻斷衝突環境。
3. 靜態路由/IP-MAC 強制綁定	在路由器/三層交換器建立靜態 ARP 或靜態路由表，強制 IP-MAC 一對一對應；非授權 IP 無法通過閘道，僅能存取區網內部。	自動鎖定非法 IP 路由出口；即時阻斷；保護合法用戶權益；便於維運。	設定複雜；IP 異動需同步更新路由表；擴展性較差。	高安全需求、IP 相對固定、接入 Internet 的邊界網路。

建議部署策略

1. 基礎層：建立 IP-MAC 分配台帳，納入資產管理系統。
2. 存取層：啟用交換器 DHCP Snooping + DAI（動態 ARP 檢測）+ Port Security，限制每埠 MAC 數量與 IP-MAC 對應。
3. 匯聚/核心層：部署靜態路由/ARP 綁定保護關鍵伺服器區段；配合 RADIUS/802.1X 進行準入認證。
4. 稽核層：定期匯出 ARP 表、DHCP 租約、防火牆日誌，交叉比對異常。

總結

單一手段無法完美解決 IP 盜用。結合「交換器即時阻斷」+「路由器邊界管控」+「事後稽核分析」的纵深防禦，才能有效保障網路資源秩序與使用者權益。