Linux 路由器實作 IP 與 MAC 位址綁定防止 IP 盜用

需求：允許特定內網 IP 連外，防止非法使用者盜用合法 IP。解決方案結合 iptables/ipchains 限制來源 IP，並建立靜態 ARP 對應（IP-MAC 綁定）。

ARP 協定運作原理

區域網路通訊需知 MAC 位址。核心維護 ARP 快取（IP→MAC 對應表），預設保留 10 分鐘。查詢不到時發送廣播封包詢問，目標主機回應 MAC，本機更新快取。

靜態綁定原理

預先建立合法 IP-MAC 靜態對應，路由器回應連線請求時直接使用靜態 MAC，不發 ARP 廣播。盜用 IP 者因 MAC 不符，無法收到回應封包，自然無法通訊。

實作步驟

方法一：/etc/ethers + rc.local（傳統做法）

1. 建立 /etc/ethers，每行格式：IP MAC
   例：192.168.2.32 08:00:4E:B0:24:47
2. 編輯 /etc/rc.d/rc.local 末尾加入：arp -f
   開機自動載入靜態 ARP 表。

方法二：iptables 直接限定 MAC（核心 2.4+）

在允許合法 IP 的規則中同時比對 MAC 位址：

iptables -A FORWARD -s 192.168.1.100 -m mac --mac-source 00:0C:29:AA:BB:CC -j ACCEPT

封包同時符合 IP 與 MAC 才放行，更精確且集中管理於防火牆規則。

建議：採用方法二，規則集中、支援動態載入、易於審計與自動化部署。