實戰教學：基於 MAC 位址的交換機連接埠存取控制（ACL）防禦 ARP 病毒

面對 ARP 欺騙蠕蟲病毒，核心防禦在於「及時切斷感染主機的網路存取」。本文以 Cisco 交換機為例，詳細演示兩種邏輯關閉連接埠的方法：直接關閉連接埠（粗暴但影響無辜）與基於 MAC 位址的精準存取控制列表（ACL，精準切除病毒主機）。

方法一：直接關閉交換機連接埠（Shutdown）

1. 以管理員帳號登入交換機/路由器（Console/Telnet/SSH）。
2. 進入目標連接埠：interface GigabitEthernet 1/2/1（視實際埠號）。
3. 執行 shutdown → 連接埠進入邏輯關閉狀態（等同拔網路線）。
4. 缺點：該埠下所有下層設備（多台 PC、交換機）全斷網，屬「寧可錯殺一百」手段。

方法二：基於 MAC 位址的精準 ACL 存取控制（核心重點）

場景：感染主機 MAC 5078.4c68.8e34 掛載於 Gi1/2/1（萬兆上行埠，下接另一台交換機），直接 shutdown 會斷開整棟樓/整個樓層網路。需精準封鎖單一 MAC。

操作步驟實錄

1. 確認感染 MAC 所在埠：
   show mac-address-table → 發現 5078.4c68.8e34 學習於 Gi1/2/1。（圖 1）
2. 進入全域設定模式建立 MAC ACL：
   configure terminal
mac access-list extended bingdu（建立名為 bingdu 的擴充 MAC ACL）
3. 定義拒絕/允許規則（ACE）：
   deny host 5078.4c68.8e34 any（封鎖來源 MAC 為此病毒主機的所有封包）
   permit any any（關鍵！ Cisco ACL 尾部隱含 deny any any，若不加此行將封鎖所有流量）
4. 將 ACL 套用至目標連接埠：
   interface Gi1/2/1
mac access-group bingdu in（套用於輸入方向）

圖 1-3：MAC 位址表查詢、建立 ACL、定義 ACE 實操畫面

驗證與後續

• 病毒主機 MAC 5078.4c68.8e34 發送的所有封包被丟棄，無法進行 ARP 欺騙/掃描/傳播。
• 同埠其他合法 MAC 正常通訊，業務零中斷。
• 後續需配合防毒軟體清除病毒主機，確認乾淨後移除 ACL 恢復存取。

總結與延伸

交換機/路由器 ACL 極具彈性：標準/擴充 IP ACL、MAC ACL、VLAN ACL、時間基準 ACL 等組合可構建多層次存取控制。網管應在日常維護中積累 ACL 實戰經驗，將「精準切除」能力內化為核心技能，而非單一依賴粗暴的 shutdown。