如何解决arp断网攻击：分三层处置-敬慕百科

如何解决arp断网攻击，优先采用终端软件拦截+电脑静态绑定网关IP-MAC+路由器双向IP-MAC绑定的组合方案；单机临时断网可直接执行cmd静态绑定命令快速恢复网络，多设备内网必须找到攻击源并拉黑对应MAC地址，该方案更适合设备固定的小型局域网，在频繁更换设备的无线网络里维护成本会明显上升。

如何解决arp断网攻击：单机应急处理

先确认攻击状态，管理员身份打开命令提示符，输入arp-a，若网关IP对应多条MAC地址，就是ARP欺骗篡改了缓存表。

执行静态绑定命令，先查到网卡编号，再锁定网关地址。

第一步输入netshinterfaceipv4showinterfaces，记下对应网卡的Idx数字；第二步执行netsh-c"ii"addne网卡编号网关IP网关MAC，把网关条目锁定为静态，拒绝恶意ARP报文改写缓存。

绑定后再次执行arp-a，条目类型显示静态就生效。

路由器更换MAC地址后，必须先执行删除命令netsh-c"ii"deletene网卡编号，否则会直接断网，这是静态绑定最常见的故障点。

开启ARP防火墙可以自动拦截欺骗报文，省去手动绑定的操作。

打开安全软件的局域网防护，开启自动绑定网关、ARP主动防御、IP冲突拦截三项功能，软件会持续校验网关MAC，发现伪造报文直接丢弃。

软件防护有局限，只能保护本机，无法阻止内网持续发送攻击数据包，内网带宽依旧会被占用。

在路由器后台开启IP与MAC双向绑定，把每一台内网设备的IP和硬件地址录入静态列表，关闭动态ARP学习功能，只放行绑定列表内的设备接入网络。

登录路由器系统，找到ARP绑定或者静态地址分配菜单，逐条录入终端信息，同时把路由器自身的IP-MAC固化，完成双向绑定。

普通家用路由器不支持ARP报文限速，内网多台设备中毒发起泛洪攻击时，仅靠绑定无法降低内网流量占用。

查看防火墙日志，日志里会持续出现发送伪造ARP包的MAC地址，这个地址就是攻击设备。

进入路由器客户端列表，对照异常MAC找到对应的设备，直接在路由器里拉黑该MAC地址，切断攻击源头。

对该设备全盘查杀ARP恶意程序，未完成杀毒前不要重新接入局域网。

防护方式	生效速度	维护工作量	适用场景
单机静态ARP绑定	快，几分钟恢复网络	偏高，设备变动就要重新修改	固定电脑、少量终端的办公网络
ARP防火墙软件	即时生效，自动拦截	偏低，全程自动运行	家庭内网、临时接入的电脑
路由器双向IP-MAC绑定	配置完成后长期生效	高，新增设备需要手动录入	小型企业、设备长期固定的局域网

企业内网可以在网管交换机上开启动态ARP检测DAI功能，该技术来自Cisco设备规范，配合DHCPSnooping只信任合法DHCP下发的IP-MAC映射，直接丢弃非法ARP报文。

同时开启ARP报文限速，限制单端口每秒接收ARP数据包数量，降低ARP泛洪带来的内网拥堵。

该功能仅网管型交换机支持，家用普通交换机无法开启这类端口防护策略。

敬慕百科汇集百科知识与游戏文化，带你发现世界的每一个精彩角落。