Win 7 開啟防火牆即斷網？關閉 NOD32「ARP 攻擊偵測」與「阻擋不安全位址」恢復上網

公司電腦裝 NOD32 安全套件，開啟防火牆即提示「DNS 快取攻擊」斷網，關閉防火牆才能上網。實測罪魁禍首是 NOD32 進階設定中兩項過度激進的偵測規則。調整即解。

問題現象

• Win 7 + NOD32 安全套件 (含防火牆模組)。
• 啟用防火牆 → 彈出「偵測到 DNS 快取攻擊」/「ARP 攻擊」→ 網路連線中斷/極慢。
• 停用防火牆 → 立即恢復正常上網。

解決步驟 (NOD32 介面略有版本差異，大同小異)

1. 開啟 NOD32 主介面 → 進入「設定」/「進階設定」 (齒輪圖示 / F5)。
2. 左側樹狀選單展開：「網路」→ 「個人防火牆」→ 「入侵偵測系統 (IDS)」/「進階防護」。
3. 找到並 取消勾選 以下兩項：
   ☐ ARP 攻擊偵測 (ARP Attack Detection)
   ☐ 攻擊偵測後阻擋不安全位址 (Block unsafe addresses after attack detection)
4. 確定套用 → 重新啟用 Windows 防火牆 / NOD32 防火牆 → 測試上網正常。

原理分析

• 企業區域網常有受感染電腦發送大量 ARP 偽造封包 (ARP Spoofing/Poisoning)，導致 NOD32 誤判正常網路流量為攻擊。
• 「ARP 攻擊偵測」過度敏感 → 大量誤報 → 觸發「阻擋不安全位址」 → 封鎖正常閘道/DNS 伺服器 MAC/IP → 斷網。
• 關閉此兩項 不等於關閉防火牆：NOD32 仍保留封包過濾、應用程式規則、連線狀態檢測等核心防護能力。

補充防護建議

• 啟用 Windows 原生防火牆 (進階安全性) 設定輸入/輸出規則，雙層防護。
• 網路層面：交換器開啟 Dynamic ARP Inspection (DAI)、DHCP Snooping、IP Source Guard，從源頭杜絕 ARP 攻擊。
• 定期掃毒、修補系統漏洞，減少內網受感染主機。

防火牆不是開關，是規則引擎。精準調整誤判規則，才能兼得安全與連線。