應對區域網路 ARP 欺騙攻擊與網路執法官：綁定 MAC、VLAN、防火牆完整防禦指南

校園、企業內網常遭 ARP 欺騙軟體（如 P2P 終結者、網路執法官）攻擊導致斷線或網路癱瘓。本文詳解 ARP 原理並提供多層次防禦方案。

ARP 欺騙原理速覽

ARP（位址解析協定）負責將 IP 位址對應至 MAC 位址。攻擊者發送偽造 ARP 回應，將受害者的 ARP 快取中閘道器或目標主機的 MAC 位址改為錯誤值，導致封包無法正確轉發，造成斷線。

防禦方案總覽

1. 使用 VLAN 隔離

若受害主機與攻擊者不在同一 VLAN，攻擊無效。需網路設備支援 VLAN 劃分。

2. 雙向 IP/MAC 綁定（最穩健）

• 在主機綁定閘道器 MAC：arp -s 閘道器IP 閘道器MAC
• 在閘道器綁定主機 IP/MAC（需路由器支援，如 HIPER）。
• 雙向綁定後，攻擊者無法竄改任一方的 ARP 快取。

3. 盜用攻擊者 IP/MAC 並綁定閘道器（兩敗俱傷）

將自身 IP/MAC 改為攻擊者相同值（先改 MAC 再改 IP 避免 Windows 偵測衝突），並綁定閘道器 MAC。此法風險較高，不建議常規使用。

4. 使用防火牆阻擋 ARP 攻擊

• Outpost Firewall： 能有效防禦 P2P 終結者等軟體，資源佔用少，可查出攻擊來源主機。
• Look 'N' Stop 規則設定： 禁止所有 ARP 封包，僅允許來源/目的為自身 MAC 與閘道器 MAC 的封包通過。適用於不需與區域網其他主機通訊、閘道器 MAC 固定的環境。

5. 靜態 ARP 綁定指令（Vista/XP 通用，最簡單有效）

arp -s 本機IP 本機MAC
arp -s 閘道器IP 閘道器MAC

查詢閘道器 MAC：ping 閘道器IP 後用 arp -a 觀察。綁定成功後 arp -a 顯示狀態為 static。建議先執行 arp -d 清除舊綁定。

6. 修改網卡 MAC 位址（繞過基於 MAC 的封鎖）

透過登錄編輯器 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002BE10318} 下對應網卡子鍵新增 NetworkAddress 字串值（12 位十六進位），重開機生效。後續可在網卡屬性「進階」直接修改。

Windows 9x/2000 系統

需安裝第三方工具（如 Anti ARP Sniffer）設定閘道器 IP/MAC 綁定。建議升級至 XP/Vista 並使用內建 arp 指令防禦。

綜合以上方法，可有效化解區域網路 ARP 欺騙威脅，保障網路連線穩定。