遭遇arp断网攻击时，可通过五种方法防护：一、主机侧静态arp绑定；二、路由器启用arp防欺骗；三、交换机部署dai动态arp检测；四、终端防火墙开启arp主动防御；五、运行python脚本检测异常arp流量。

如果您发现局域网内多台设备频繁断网、弹出IP与MAC地址冲突提示，或网关MAC地址异常变动，则很可能是遭遇了ARP断网攻击。以下是针对该问题的多种防护方法：

一、静态ARP绑定（主机侧）

通过在受害主机上手动固化网关的IP与MAC映射关系，可使系统无视伪造ARP应答，避免ARP缓存被篡改。该操作直接作用于本地ARP表，无需依赖网络设备支持。

1、以管理员身份打开命令提示符（Windows）或终端（Linux/macOS）。

2、执行命令查询当前网关MAC地址：arp -a | findstr "192.168.1.1"（请将“192.168.1.1”替换为实际网关IP）。

3、确认网关真实MAC地址后，执行静态绑定命令：arp -s 192.168.1.1 aa-bb-cc-dd-ee-ff（MAC地址格式依系统调整，Windows用短横线，Linux用冒号）。

4、验证绑定是否生效：arp -a，检查对应条目类型是否为“static”。

二、路由器ARP防护启用（网关侧）

在无线企业路由器或支持高级安全功能的家用路由器中启用ARP防欺骗，可从网络入口处拦截伪造ARP包，实现源头抑制。需配合静态绑定使用以达成双向防护。

1、使用浏览器访问路由器管理地址（如192.168.1.1），输入管理员账号密码登录。

2、进入【安全管理】→【ARP防护】界面。

3、点击【ARP扫描】，等待完成局域网设备识别；确认无攻击行为后，勾选全部在线设备并点击【导入】。

4、在绑定列表中核对每台设备的IP与MAC，确保无误后，勾选【启用ARP防欺骗功能】及【仅允许IP MAC绑定的数据包通过】。

5、点击【保存】并重启路由器使策略生效。

三、部署DAI动态ARP检测（交换机侧）

对于具备三层管理能力的企业级交换机，启用DAI功能可在数据链路层实时校验ARP报文合法性。该机制基于端口、IP、MAC三元组白名单，自动丢弃未授权ARP响应。

1、通过Console线或SSH登录交换机管理界面。

2、进入全局配置模式，执行：ip arp inspection vlan 10（将“10”替换为实际业务VLAN ID）。

3、指定信任端口（如上联口、服务器端口）：interface gigabitethernet 1/0/24，随后执行：ip arp inspection trust。

4、对非信任接入端口启用ARP报文验证：ip arp inspection limit rate 20（限制每秒ARP报文数为20）。

5、启用日志记录以便溯源：ip arp inspection log-buffer。

四、启用终端防火墙ARP主动防御

借助终端安全软件内置的ARP防护模块，可实时监控本机ARP表变化、拦截异常更新请求，并自动告警或阻断可疑流量。适用于无法控制网络设备权限的办公环境。

1、打开360安全卫士或火绒安全软件主界面。

2、进入【功能大全】→【网络工具】→【流量防火墙】。

3、在ARP防御区域，点击右侧开关按钮启用ARP主动防御功能。

4、勾选【开启ARP攻击实时检测】与【发现攻击时自动隔离攻击源】两项选项。

5、返回主界面，确认状态栏显示“ARP防护已开启”且图标为绿色。

五、运行ARP攻击检测脚本（技术排查）

当怀疑存在隐蔽ARP攻击源但尚未定位时，可通过轻量级Python脚本持续监听ARP流量异常，识别高频单播应答、网关MAC漂移等典型特征，辅助人工取证。

1、确保目标主机已安装Python 3.7+及scapy库：pip install scapy。

2、创建文件arp_monitor.py，写入以下核心逻辑：

from scapy.all import sniff, ARP

def detect_arp_spoof(pkt):

if ARP in pkt and pkt[ARP].op == 2:

print(f"[ALERT] ARP reply from {pkt[ARP].psrc} with MAC {pkt[ARP].hwsrc}")

sniff(filter="arp", prn=detect_arp_spoof, store=0)

3、以管理员权限运行：python arp_monitor.py。

4、观察输出中是否出现同一IP地址对应多个不同MAC地址的重复告警行。