校園網、企業網常發生 IP 衝突/盜用導致正常用戶無法上網、頻繁彈出「IP 地址衝突」提示。核心對策是將 IP 地址與網卡物理地址 (MAC) 綁定，使攻擊者無法僅靠修改 IP 即冒充合法主機。

一、什麼是 MAC 地址

• 網卡出廠燒錄的 48 位全球唯一標識符（12 位十六進制，如 00-10-5C-AD-72-E3）。
• 屬於硬體特性，與網路拓撲無關，換網段、換交換機均不變。
• 類比：IP 是「房間號」（可換），MAC 是「身分證號」（不可換）。

二、查詢本機 MAC 地址

1. Win+R → cmd 開啟命令提示字元。
2. 輸入 ipconfig /all，尋找 Physical Address 欄位（即 MAC）。

三、靜態 ARP 綁定命令

arp -s  
# 例：
arp -s 10.88.56.72 00-10-5C-AD-72-E3

• 執行後，本機 ARP 快取表將固定該 IP-MAC 映射，攻擊者竄改 IP 也無法通訊（網關/交換機端亦需配置動態 ARP 檢查/DAI 才能全網生效）。
• 查看綁定：arp -a。
• 刪除綁定：arp -d 。

四、進階防護：交換機/網關端部署 (根治方案)

單機 arp -s 僅保護本機，無法阻止攻擊者佔用 IP 與網關通訊。企業/校園網應在核心交換機或網關啟用：

• DHCP Snooping：建立合法 IP-MAC-VLAN-埠綁定資料庫 (DHCP Snooping Binding Table)。
• Dynamic ARP Inspection (DAI)：依據綁定表驗證 ARP 封包，丟棄偽造 ARP。
• IP Source Guard：僅允許符合綁定表的 IP 發送流量。
• Port Security：限制單埠學習 MAC 數量，防 MAC 洪泛。

五、適用範圍與限制

最佳實踐：終端執行 arp -s 作為臨時緩解；網管部門在接入層交換機全面部署 DHCP Snooping + DAI + IP Source Guard，從源頭杜絕 IP/MAC 盜用與 ARP 攻擊。