痛點：600+ 終端，用戶私改 IP/MAC 導致衝突頻發
學校區網 600+ 節點，採固定 IP 管理。用戶竄改 IP 引發衝突，竄改 MAC 甚至冒充主伺服器，商用方案太貴，自研雙層防護。
第一層：防火牆層 IP-MAC 綁定（ARP 靜態綁定）
- 命名規範：依部門/用途命名，如
gaoyiyuwen01，一目了然
- IP 規劃表：建立含機器名、IP、MAC、備註的總帳
- 蒐集 MAC：
- 用戶自行
winipcfg 回報
- 網管遠端
nbtstat -a 遠端電腦名 批次抓取
- 代理伺服器模式：執行
arp -s IP MAC（如 arp -s 192.168.1.4 00-E0-4C-6C-08-75），盜用 IP 者無法經代理上網
- 路由器直連模式：硬體防火牆配置 IP-MAC 靜態綁定
破綻：用戶仍可竄改 MAC（修改登錄檔、小工具）繞過第一層
上線不足一月，衝突復發，甚至有用戶將 MAC 改成主伺服器同值，網路大亂。
第二層：交換器層 Port-MAC 綁定（Cisco 3548 範例）
(config)# mac-address-table permanent MAC_Address Interface_ID
- 逐一將每個存取埠綁定授權 MAC
- 用戶竄改 MAC → 交換機判定非法 → 埠口不轉發封包 → 徹底隔離
- 其他可管交換機（HP、D-Link、Netcore 等）大多支援同類指令
雙管齊下效果
- 防火牆層擋盜用 IP、交換器層擋偽造 MAC
- 管理成本：一次性建檔 + 定期稽核，零軟體授權費
- 原則：身分認證下沉到存取層，才是根治竄改的正道