内网 ARP 欺骗的防护

发布时间:2026-08-16 08:03

同一二层网络里的设备靠地址解析协议互相寻找：知道对方地址，广播询问谁来认领，应答者报出自己的物理地址，通信由此建立。这套机制诞生于相互信任的环境，没有对伪造应答的防御，ARP 欺骗正是利用这一点：攻击者在内网冒充网关或他人身份应答，把别人的流量引导到自己这里，窃听、篡改、断网随之而来。 ## 原理与症状 欺骗的基本动作是发送伪造的应答报文，反复宣称某个地址对应的物理地址是自己。受害者信以为真，把本应发给网关的流量发给攻击者，攻击者转发给真网关并顺手复制一份，形成窃听；攻击者不转发，就是断网；再进一步改写内容，就是中间人篡改。典型症状：部分机器时断时续且范围与欺骗范围吻合；同一网关地址对应多个物理地址；交换机某些端口流量异常偏高。 ## 服务器侧的防护手段 服务器侧的核心手段是静态绑定：把关键邻居的地址与物理地址关系固定写死，不再接受动态应答的更新。对网关做绑定后，伪造的网关应答无法生效，欺骗失去意义。查看与配置邻居家表的常用操作： ```bash ip neigh show dev eth0 ``` 静态条目在网络配置中持久化，重启后自动恢复。绑定要做全才有效，关键对端都要纳入绑定清单。 ## 交换机与架构侧的防护 服务器绑定是末端防御，根治要靠网络设备。交换机侧的防护包括：动态检测功能，端口收到异常的地址声明报文时告警或直接关闭端口；端口安全策略，限制单端口允许的物理地址数量，攻击者伪造多身份的行为会被拦截；划分更小的广播域，缩小欺骗的影响半径，也让定位更容易。架构侧的根治办法是隔离与认证：重要业务网段与普通网段分开，虚拟化环境为管理流量单独组网，配合更严格的网络准入，让不可信设备根本进不了二层。 ## 落地建议 防护落地按成本分三步：第一步监控发现，部署地址表异常检测，网关地址对应多个物理地址、物理地址频繁变更都即时告警，先做到看得见；第二步静态绑定，服务器侧对网关与关键对端绑定，管理网优先；第三步交换机防护，在全网设备上开启地址检测与端口安全。三步走完，欺骗的空间被压缩到很小。顺云用户在云服务器之间自建虚拟网络时，平台侧的网络虚拟化已隔离了二层行为，主要风险集中在自组网与托管内网环境，按上述步骤排查加固即可。ARP 欺骗是老问题，但它利用的是机制层的信任缺失，防护也必须落在机制上，单靠杀毒软件拦不住协议层的谎言。