靜態 IP 與 MAC 位址綁定 (ARP 綁定) 實務教學：防止 IP 盜用與 ARP 攻擊

企業/學校網路環境常採用靜態 IP 管理，為防止使用者私自更改 IP 或遭受 ARP 欺騙攻擊，網管可在三層交換機或代理伺服器執行 ARP 靜態綁定，將合法 IP 與網卡 MAC 位址一對一鎖定。本文以實例說明查詢 MAC、下達綁定指令、參數解析全流程。

步驟 1：查詢本機網卡 MAC 位址

1. Win+R → 輸入 cmd → 執行 ipconfig /all (Win9x 時代用 winipcfg，現已淘汰)。
2. 找到「實體位址」(Physical Address)，格式如 00-E0-4C-6C-08-75，記錄備用。

步驟 2：在代理伺服器/三層交換機執行 ARP 綁定

假設合法 IP 為 192.168.0.4，MAC 為 00-E0-4C-6C-08-75，在具備 ARP 管理權限的設備 (如 Linux 代理伺服器、Cisco/H3C 三層交換機) 執行：

arp -s 192.168.0.4 00-e0-4c-6c-08-75

完成後，該 IP 僅允許對應 MAC 的裝置通行；盜用相同 IP 但 MAC 不符的裝置將無法通過代理/交換機上網。

ARP 指令參數詳細說明

注意事項

• **僅適用靜態 IP 環境**；DHCP 動態分配環境無法使用靜態 ARP 綁定 (需改用 DHCP Snooping、IP Source Guard 等交換機功能)。
• Modem 撥號上網屬動態 IP，不適用。
• 綁定生效範圍：僅在執行指令的該網段/代理伺服器/交換機轉發路徑上有效。

進階應用

• 撰寫批次腳本批量匯入 MAC-IP 對應表。
• 搭配交換機 Port Security 限制每埠僅允許單一 MAC，雙重防護。
• 定期 arp -a 稽核異常對應，發現 ARP 攻擊即時封鎖。

靈活運用 ARP 綁定，構建「人、機、IP 三合一」的網路存取控制，大幅降低 IP 盜用與中間人攻擊風險。