ARP 指令實務指南：查看與管理位址解析協定快取

ARP (Address Resolution Protocol) 負責將 IPv4 位址解析為 MAC 位址。arp 指令可檢視、新增、刪除本機 ARP 快取，是排查網路連線、偵測 ARP 欺騙、處理 IP 衝突的基礎工具。

快取機制

• 動態項目： 正常通訊自動建立，閒置 2-10 分鐘 (Windows) 後老化移除。
• 靜態項目： 手動新增，重開機前永久有效，除非發生錯誤自動更新。
• 查看快取前建議先 ping 目標IP 觸發 ARP 交換，確保快取有資料。

常用指令與參數

輸出欄位解讀

介面: 192.168.1.50 --- 0x3
  網際網路位址      實體位址      類型
  192.168.1.1       00-50-56-c0-00-01  動態
  192.168.1.100     00-11-22-33-44-55  靜態
  192.168.1.255     ff-ff-ff-ff-ff-ff  靜態 (廣播)

• 動態：正常學習，會老化。
• 靜態：手動新增或廣播/多播固定項目。

實戰應用場景

1. 偵測 ARP 欺騙 / IP 衝突

arp -a
# 若同一 IP 對應多個 MAC、或閘道器 MAC 異常變更 → 疑似 ARP 攻擊
# 結合 Wireshark 擷取 ARP 封包確認

2. 繞過 DHCP 固定 IP/MAC 綁定 (測試用)

arp -s 192.168.1.200 00-AA-BB-CC-DD-EE
# 強制本機將 .200 解析為指定 MAC，不發送 ARP 請求

3. 清除錯誤快取恢復連線

arp -d 192.168.1.1
ping 192.168.1.1
# 重新學習正確 MAC

4. 虛擬化/容器環境 MAC 衝突排查

arp -a -N 介面IP
# 檢查各 VM/容器 MAC 是否唯一、是否與實體網卡衝突

進階技巧

• 永久靜態項目： 將 arp -s ... 加入開機腳本 (GPO/工作排程器/登錄 Run)，實現永久綁定。
• PowerShell 替代： Get-NetNeighbor (顯示)、New-NetNeighbor -LinkLayerAddress ... (新增)、Remove-NetNeighbor (刪除)。
• IPv6 對應： 使用 Get-NetNeighbor -AddressFamily IPv6，ARP 僅用於 IPv4，IPv6 改用 NDP (Neighbor Discovery Protocol)。

安全防護建議

• 交換器啟用 Dynamic ARP Inspection (DAI)、IP Source Guard 防禦 ARP 欺騙。
• 主機端安裝 ARP 防火牆 (如 AntiARP、XArp) 監控異常 ARP 回應。
• 靜態綁定關鍵設備 (核心交換器、防火牆、伺服器) IP-MAC 對應。
• 定期稽核 arp -a 輸出，建立基準資料庫。

ARP 是區域網路通訊的基石，熟練 arp 指令操作與異常判讀，能快速定位連線故障、偵測中間人攻擊、維護網路存取控制完整性。