伺服器 ARP 欺騙攻擊臨時緩解方案：靜態綁定網關 MAC 定時刷新

ARP 欺騙原理速覽

攻擊者向網關發送偽造 ARP 回應，將自身 MAC 偽裝成網關；同時向你的伺服器發送偽造 ARP，將自身 MAC 偽裝成你的伺服器。雙向攔截後可竄改、注入、監聽所有流量。

快速判斷是否被攻擊

arp -a

正常輸出：

Interface: 222.77.88.88 --- 0x10003
Internet Address      Physical Address      Type
222.77.88.1           00-00-0c-07-ac-46     static   ← 網關 MAC 應固定
222.77.88.2           00-09-b6-16-24-ca     dynamic
...

若網關 IP 對應的 MAC 變動，或出現多筆相同 IP 不同 MAC，即遭 ARP 攻擊。

臨時緩解：靜態 ARP 綁定 + 定時任務

1. 建立批次檔 arp.bat：

   @echo off
   arp -s 222.77.88.1 00-00-0c-07-ac-46

   arp -s 网关IP 网关真实MAC

2. 取得真實網關 MAC：在未被攻擊時執行 arp -a 記錄
3. 建立 Windows 排程任務：每 5 分鐘執行一次 arp.bat

原理與限制

• 靜態 ARP 表項優先級高於動態學習，強制流量走正確網關
• 攻擊持續期間，每 5 分鐘自動糾正一次，最大中斷窗口 5 分鐘
• 非根治：無法阻止攻擊者發包，僅減輕影響

根治方向（需機房/網管配合）

1. 開啟交換機 DAI (Dynamic ARP Inspection) / ARP 防護
2. 配置 IP-MAC-Port 綁定、DHCP Snooping
3. 隔離可疑端口，追蹤攻擊者 MAC 定位物理位置

伺服器頻繁死機排查清單

1. 拔網線測試 → 排除高負載/攻擊
2. 進入安全模式 → 不死機則為軟體/驅動衝突
3. 最小啟動服務/程式 → 定位衝突項
4. 仍死機 → 硬體故障（記憶體、主機板、電源、過熱、超頻）