兩大 ARP 欺騙模式

1. 欺騙路由器 ARP 表：持續發送偽造內網 MAC，導致路由器將回覆流量送往錯誤 MAC，正常 PC 收不到封包。
2. 偽造網關：建立假網關，誘騙 PC 向假網關發送流量，表現為「網路斷線」。

上海電信外高橋資料中心防護專區架構

外部防護：物理隔離

• 專區使用獨立網關，從電信路由層以獨立 VLAN 物理接入，與非防護區完全隔離。

內部防護：四層綁定體系

1. 中心交換機以機櫃劃分 VLAN：機櫃間無法直接通訊，阻斷機櫃間 ARP 攻擊。並實施 IP-MAC-交換機埠 三元綁定，伺服器僅能在指定機櫃/埠使用，防內部攻擊機竊取網關流量。
2. 機櫃交換機 IP-MAC-埠 綁定：伺服器鎖定專屬存取埠，防發送偽造 IP/MAC 偽造網關。
3. 機櫃交換機 靜態綁定網關 IP-MAC：為機櫃內伺服器提供唯一正確的網關 MAC 解析，免疫偽網關攻擊。

核心原則

「獨立廣播域 + 多層靜態綁定」，從物理隔離到邏輯鎖定，層層設防，讓 ARP 欺騙無隙可乘。