Windows 7 靜態 ARP 免疫指令碼：NETSH 替代 arp -s 永久生效

傳統 `arp -s` 重啟失效，`netsh interface ipv4 add neighbors` 支持 `store=persistent` 重啟不丟失，是企業內網 ARP 防禦的標準化部署方式。

操作前提

• 管理員權限運行 CMD (右鍵「以管理員身份運行」)。
• 確認網關 IP/MAC、本機 IP/MAC (需在正常網絡環境下獲取，避免已被污染)。

步驟 1：查看當前 ARP 表 (確認網關信息)

C:\> arp -a
介面: 192.168.1.100 --- 0x2
  Internet 地址      物理地址          類型
  192.168.1.1        00-19-e0-e0-76-cb  動態   <-- 網關
  192.168.1.100      00-1f-c6-31-8a-4b  動態   <-- 本機
  192.168.1.255      ff-ff-ff-ff-ff-ff  靜態
  224.0.0.22         01-00-5e-00-00-16  靜態
  ...

步驟 2：進入 NETSH IPv4 上下文

C:\> netsh interface ipv4
netsh interface ipv4>

步驟 3：查看鄰居緩存 (確認介面名稱)

netsh interface ipv4> show neighbors
介面 12: 區域連接
  192.168.1.1 00-19-e0-e0-76-cb 動態
  192.168.1.100 00-1f-c6-31-8a-4b 動態

記錄介面名稱：「區域連接」 (中文系統) 或 「Local Area Connection」 (英文系統)。

步驟 4：設置靜態鄰居 (網關 + 本機)

netsh interface ipv4> set neighbors "區域連接" 192.168.1.1 00-19-e0-e0-76-cb store=persistent
netsh interface ipv4> set neighbors "區域連接" 192.168.1.100 00-1f-c6-31-8a-4b store=persistent

• `store=persistent` 關鍵參數：寫入注冊表，重啟不丟失。
• 雙向綁定：網關 IP+MAC、本機 IP+MAC 都要綁，防止雙向欺騙。

步驟 5：退出並驗證

netsh interface ipv4> exit
C:\> arp -a
介面: 192.168.1.100
  192.168.1.1        00-19-e0-e0-76-cb  靜態   <-- 變為靜態
  192.168.1.100      00-1f-c6-31-8a-4b  靜態
  ...

批量部署腳本 (GPO/登錄腳本/桌面管理)

@echo off
rem 靜態 ARP 免疫部署腳本 - 需管理員權限
set GW_IP=192.168.1.1
set GW_MAC=00-19-E0-E0-76-CB
set IF_NAME="區域連接"  rem 根據實際情況修改：英文系統用 "Local Area Connection"

netsh interface ipv4 set neighbors %IF_NAME% %GW_IP% %GW_MAC% store=persistent
rem 本機 IP/MAC 可通過腳本自動獲取，此處示例手動指定
netsh interface ipv4 set neighbors %IF_NAME% 192.168.1.100 00-1F-C6-31-8A-4B store=persistent

echo 靜態 ARP 綁定完成，重啟不丟失。
pause

配合 VOLANS 路由器端綁定形成閉環

• 路由器端：網絡安全 → ARP 防御 → IP-MAC 掃描綁定 + 禁止未綁定通過。
• 客戶端：NETSH 靜態 ARP 綁定網關。
• 雙向綁定 = ARP 免疫閉環，攻擊者發送偽造 ARP 報文，路由器不轉發、客戶端不信任，攻擊徹底失效。