ARP（Address Resolution Protocol）是區域網路中將 IP 位址解析為 MAC 位址的關鍵協定。駭客利用 ARP 缺乏驗證機制，偽造 ARP 回應封包，將受害者的 ARP 快取導向攻擊者主機，實現中間人攻擊或阻斷服務。本文解析 ARP 攻擊原理，並以 H3C 交換器為例示範防禦配置。

ARP 攻擊核心機制

攻擊者監聽區網廣播的 ARP Request，獲取目標 IP-MAC 對應，隨後發送偽造的 ARP Reply，宣稱自己是網關或特定主機。受害者更新快取後，流量將被導向攻擊者，造成竊聽、資料竄改或網路中斷。由於 ARP 快取為動態更新，持續發送偽造封包即可維持攻擊。

交換器層面防禦策略

防止偽冒網關 IP（Layer 2 交換器）

在接入層交換器配置 ACL，僅允許真實網關 MAC 發送 ARP 封包：

ACL 5000
 rule 0 deny 0806 ffff 24 64010101 ffffffff 40   // 封鎖所有冒充網關 IP (100.1.1.1) 的 ARP
 rule 1 permit 0806 ffff 24 000fe2003999 ffffffffffff 34 // 允許真實網關 MAC (000f-e200-3999)
interface Ethernet0/1
 packet-filter user-group 5000 inbound

防止偽冒網關 IP（Layer 3 交換器）

三層交換器同樣配置 ACL 過濾來源 IP 為網關的 ARP 封包，並套用於下行介面。

防止偽冒其他主機 IP

攻擊者可能偽裝成合法主機 IP 欺騙網關。解決方案是在網關設備配置靜態 ARP 綁定，固定關鍵主機的 IP-MAC-介面對應：

arp static 100.1.1.3 000f-3d81-45b4 1 Ethernet0/8

此舉防止網關學習到錯誤的 ARP 表項，確保流量正確轉發。

補充建議

• 啟用交換器的 DAI (Dynamic ARP Inspection) 功能，驗證 ARP 封包合法性。
• 部署 DHCP Snooping 與 IP Source Guard，從源頭限制非法 IP/MAC 組合。
• 定期稽核 ARP 表，異常條目即時告警。

透過交換器層面的嚴格過濾與靜態綁定，可有效遏制區網內 ARP 攻擊，保障網路通訊完整性。