ARP 攻擊導致網吧、企業網路頻繁斷線、網速不穩、資料竊取，變種多、傳播快，許多技術人員束手無策。本文從原理、現象、解決方案三面向，提供完整應對指南。

ARP 欺騙攻擊原理

• 基礎機制：區域網靠 ARP 協議將 IP 映射為 MAC，建立在「相互信任」基礎上。主機維護 ARP 快取（生存期約 60 秒），收到 ARP 回應即更新 IP-MAC 映射。
• 欺騙手法：攻擊者偽造 ARP 回應，將網關 IP 映射為攻擊者 MAC（或偽造 MAC），受害者流量被導向攻擊者 → 嗅探、竄改、中斷、中間人攻擊。
• 交換機 MAC 洪泛：攻擊者大量發送偽造 MAC 封包，填滿交換機 MAC-Port 表，迫使交換機退化為 Hub，全埠廣播 → 嗅探全網流量。交換機日誌會出現大量相同 MAC 對應不同 IP 的紀錄。

攻擊典型現象

• 網銀/機密資料頻繁外洩：流量經攻擊者機器，偽造斷線誘導重新登入竊取帳密。
• 網速忽快忽慢、區域/整體頻繁斷線，重啟電腦/設備暫時恢復。
• 單機光纖測試正常，但區域網路擁塞嚴重（ARP 封包風暴 + 攻擊者處理能力瓶頸）。

通用解決方案：雙向綁定（雙綁）

1. 取得真實網關 MAC：正常上網時，`cmd` → `arp -a` 記錄網關 IP 對應的 Physical Address（如 192.168.1.1 → 0A-0B-0C-0D-0E-0F）。
2. 客戶端靜態綁定網關：建立批次檔 `rarp.bat`：

   @echo off
   arp -d
   arp -s 192.168.1.1 0A-0B-0C-0D-0E-0F
   

   放入啟動項或登入腳本，每次開機自動綁定，防止被偽造 ARP 覆蓋。
3. 交換機端口綁定 MAC（Port Security）：在核心/接入交換機配置 `switchport port-security`，限制每埠學習 MAC 數量、違規動作（shutdown/protect/restrict），並靜態綁定合法終端 MAC，防止 MAC 洪泛與 ARP 欺騙雙重保障。
4. 部署 ARP 防護專用設備/軟體：如華為 ARP 防攻擊、Cisco DAI (Dynamic ARP Inspection)、專用 ARP 防火牆，自動檢測/阻斷偽造 ARP、隔離攻擊埠。
5. 網段劃分與 VLAN 隔離：縮小廣播域，限制攻擊波及範圍。

應急處理流程

1. 發現異常 → 立即隔離疑似攻擊主機（關閉交換機埠）。
2. 掃描全網病毒/木馬，清除 ARP 欺騙程式（如 `arp.exe` 變體）。
3. 恢復靜態綁定、檢查交換機 MAC 表、清理偽造項目。
4. 事後複盤：補丁、防毒、Port Security、DAI、網管稽核全面檢視。

ARP 攻擊屬第二層威脅，傳統三層防火牆無法防禦。唯有「端點靜態綁定 + 網路設備 Port Security/DAI + 流量行為分析 + 管理制度」四位一體，才能徹底淨化網路環境。