背景：600+ 終端，用戶私改 IP/MAC 衝突頻發，商用方案太貴
自研雙層防護，零授權成本，徹底根治。
第一層：防火牆層 IP-MAC 靜態綁定
- 命名規範：依部門/用途命名，如
gaoyiyuwen01
- IP 規劃表：含機器名、IP、MAC、備註
- 蒐集 MAC：用戶
winipcfg 回報、或網管 nbtstat -a 遠端電腦名 批次抓取
- 代理伺服器模式：執行
arp -s IP MAC（例 arp -s 192.168.1.4 00-E0-4C-6C-08-75），盜用 IP 者無法經代理上網
- 路由器直連模式：硬體防火牆配置 IP-MAC 靜態綁定
破綻：用戶竄改 MAC（修改登錄檔/小工具）繞過第一層
上線不足一月衝突復發，甚至有用戶將 MAC 改成主伺服器同值，網路大亂。
第二層：交換器層 Port-MAC 永久綁定（Cisco 3548 範例）
(config)# mac-address-table permanent MAC_Address Interface_ID
- 逐一將每個存取埠綁定授權 MAC
- 用戶竄改 MAC → 交換機判定非法 → 埠口不轉發封包 → 徹底隔離
- 其他可管交換機（HP、D-Link、Netcore 等）大多支援同類指令
雙管齊下效果
- 防火牆層擋盜用 IP、交換器層擋偽造 MAC
- 管理成本：一次性建檔 + 定期稽核，零軟體授權費
- 核心原則：身分認證下沉到存取層，才是根治竄改的正道