ARP 協議基礎

ARP (Address Resolution Protocol) 為鏈路層協定 (OSI 第 2 層)，負責將 32 位 IP 位址解析為 48 位 MAC 位址，以便乙太網交換設備傳輸資料框。IP 封包在區域網路內傳輸實際依賴 MAC 位址，故需 IP-MAC 對應關係，ARP 即提供此對應解析服務。

ARP 工作機制

1. 請求主機廣播 ARP Request (含目標 IP、自身 IP/MAC)。
2. 目標主機識別自身 IP，單播 ARP Reply (含自身 IP/MAC) 給請求主機。
3. 請求主機更新本地 ARP 快取表 (動態老化機制：Windows 2 分鐘、Cisco 5 分鐘)。

ARP 欺騙攻擊原理

攻擊者持續發送偽造 ARP Reply，宣稱自己是閘道 (或目標主機)，竄改受害者 ARP 快取，導致流量經攻擊者機器轉發 (中間人攻擊) 或大量偽造封包阻塞網路 (DoS)。區域網路中單台中毒電腦即可波及全網段。

實例拓撲說明

假設兩網段、三主機、兩閘道：

• 閘道1: 192.168.1.1 / 01-01-01-01-01-01
• 主機A: 192.168.1.2 / 02-02-02-02-02-02
• 主機B: 192.168.1.3 / 03-03-03-03-03-03
• 閘道2: 10.1.1.1 / 04-04-04-04-04-04
• 主機C: 10.1.1.2 / 05-05-05-05-05-05

主機A 與 B 通訊時，若 A 的 ARP 快取無 B 的 MAC，廣播請求；若遭攻擊者偽造回應，A 將錯誤 MAC 寫入快取，後續封包誤送攻擊者。

防治對策

主機端

• 安裝 ARP 防火牆 (360、彩影、金山等)，核心層攔截偽造封包、主動宣告真實 MAC。
• 靜態綁定閘道 IP-MAC (arp -s)。
• 定期掃描終端病毒，清除 ARP 木馬源頭。

網路設備端 (根治關鍵)

• 啟用 DAI (Dynamic ARP Inspection)：驗證 ARP 封包合法性，丟棄偽造封包。
• 啟用 IP Source Guard：僅允許合法 IP-MAC 通訊。
• 啟用 Port Security：限制每埠 MAC 數量，防 MAC 泛洪。
• 配合 DHCP Snooping 建立合法綁定資料庫。
• 部署 VLAN 隔離 + 802.1X 認證：限制未授權裝置接入。

CERNET 專題目的

收集整理 ARP 欺騙病毒原理、偵測、手動處理、軟硬體防護方案，協助校園網/企業網管提升區域網路安全運行水平。