ARP 欺騙（ARP Spoofing/Poisoning）是區域網路常見攻擊手法，攻擊者偽造 ARP 封包將自身 MAC 位址綁定至閘道器 IP，導致區網流量經由攻擊機竊聽、竄改或中斷。本文整理典型現象與兩種快速判斷方法，協助網管快速定位受害主機。

一、典型攻擊現象

• 區域性/整體頻繁斷線：重啟電腦或網路設備暫時恢復，但隨攻擊持續再次斷線。
• 網速忽快忽慢、極不穩定：單機測速正常，但區網大量偽造 ARP 封包阻塞通道，造成設備負載過重。
• 網銀、遊戲、QQ 帳號頻繁失竊：攻擊者截取通訊協議解密帳號密碼，竊取數位資產與隱私。

二、快速判斷方法

方法一：比對路由器與客戶端 ARP 表

1. 登入路由器管理介面，查看 運行狀態 → LAN 口狀態，記下路由器 LAN 口 MAC 位址。
2. 在無法上網的電腦開啟命令提示字元（Win+R → cmd），輸入 arp -a 查看本機 ARP 快取。
3. 比對「網關 IP」對應的 MAC 位址：若與路由器實體 MAC 不同，即確認發生 ARP 欺騙。

方法二：直接檢查網關 MAC 是否異常

1. 在命令提示字元輸入 arp -a。
2. 找到網關 IP 所在行，若其 MAC 位址非路由器原廠 MAC（通常前三組 OUI 可識別廠商），即為被偽造。

三、進階防護建議

• 啟用交換器 DHCP Snooping / Dynamic ARP Inspection (DAI)，驗證 ARP 封包合法性。
• 在核心交換器設定 IP-MAC-Port 綁定，防止 IP/MAC 盜用。
• 客戶端安裝 ARP 防火牆（如 360 ARP 防火牆、AntiARP），鎖定真實閘道 MAC。
• 定期掃描區網裝置，建立資產基線，異常即時告警。