ARP 欺騙屬第 2 層攻擊，傳統「雙向綁定」(路由器 + 端點) 只能擋 50% 低階攻擊；路由器主動防禦 (發送免費 ARP 修正) 解決 80% 掉線問題，但高頻攻擊仍造成「網路卡頓」。根治核心在交換機：所有 ARP 封包必經交換機轉發，在交換機實施動態 ARP 檢測 (DAI)、IP-MAC-Port 綁定、非法 ARP 過濾，才能讓攻擊「出不了門」。

防禦演進路線圖

1. 端點靜態綁定：arp -s 閘道IP 閘道MAC、netsh interface ipv4 add neighbors — 維護成本高、不防惡意軟體修改本地表。
2. 路由器雙向綁定 + 主動防禦：路由器綁定核心 IP-MAC、定期發送免費 ARP — 仍屬事後補救，高頻攻擊下 CPU 飆升、延遲飆漲。
3. 核心交換機 DAI + IP Source Guard (本文核心方案)：
   — 信任埠 (Uplink/Server) 允許 ARP 通過
   — 非信任埠 (存取埠) 僅允許符合 DHCP Snooping/靜態綁定表的 ARP 通過
   — 違規封包直接丟棄、記錄日誌、發送告警
4. 分支交換機隔離：核心交換機 (如 Netcore 7324NSW) 完成全網 ARP 綁定 (支援 1000+ 條目)，分支交換機僅做基本隔離；攻擊僅影響同一分支，不波及全網。
5. 日誌審計 + 攻擊源追蹤：交換機日誌記錄違規來源埠、IP、MAC、時間 → 自動/人工關閉攻擊埠、隔離主機、清除惡意程式。

核心交換機關鍵配置要點 (以 Netcore 7324NSW 為例)

! 啟用 DHCP Snooping 建立合法 IP-MAC-VLAN-Port 綁定資料庫
ip dhcp snooping
ip dhcp snooping vlan 10,20,30
ip dhcp snooping limit rate 50   ! 防止 DHCP 饑餓攻擊

! 靜態綁定關鍵伺服器/閘道 (若不走 DHCP)
ip source binding 192.168.1.10 00:11:22:33:44:55 vlan 10 interface g1/1

! 動態 ARP 檢測 (DAI)
ip arp inspection vlan 10,20,30
ip arp inspection validate src-mac dst-mac ip
! 信任埠 (核心互聯、伺服器直連)
interface g1/1
 ip arp inspection trust
 ip dhcp snooping trust

! IP Source Guard 防止 IP 偽造
interface range g1/2 - 24
 ip verify source port-security
 ip arp inspection limit rate 30

! 日誌與告警
logging host 192.168.1.100
snmp-server enable traps arp-inspection

新一代 ARP 攻擊特徵 (2015 觀測)

• 極速爆發：10-20 秒癱瘓 300 台主機。
• 隱蔽性強：攻擊結束立即發送修正 ARP，無日誌極難發現。
• 繞過補丁：破解 XP/2003 官方 ARP 修補程式。
• 載體變換：私服掛機程式本體、P2P 軟體 (非外掛) 內建 ARP 攻擊模組。

完整防禦部署清單

層級	措施	工具/設備	覆蓋率
核心交換機	DHCP Snooping + DAI + IP Source Guard + 靜態綁定關鍵資產	支援 DAI 的 L2/L3 交換機 (Cisco Catalyst, H3C S5560, Netcore 7324NSW, Ruijie 等)	95%+ (阻斷跨 VLAN/全網攻擊)
分支/存取交換機	基本 Port Security + DHCP Snooping (若支援)	Managed Switch	限制攻擊波及範圍至單一分支
端點	啟用 Windows 防火牆阻擋發送免費 ARP、安裝 ARP 防火牆軟體 (如 ARP Defender)	群組原則下發	輔助、非核心
監控平台	收集交換機 Syslog/SNMP Trap、關聯分析、自動下發隔離指令	SOC/SIEM/自動化劇本	縮短 MTTR (平均修復時間)

「交換機是第 2 層守門人」—— 將 ARP 防禦前移至交換機平面，配合分支隔離與日誌追蹤，構建「防得住、查得到、隔離快」的立體防禦體系，徹底終結 ARP 攻擊威脅。