arp_ignore不能防范ARP欺骗，它仅控制本机对ARP请求的响应行为；设为1或2可避免多网卡同网段时的ARP响应混乱和MAC漂移，但无法阻止他人伪造ARP报文或更新本机ARP缓存。
arp_ignore 本身不防范 ARP 欺骗攻击，它只控制本机是否响应 ARP 请求；真正防欺骗得靠交换机端口安全、DHCP Snooping 或用户侧主动检测（如 arp-scan + static arp 表），误配 arp_ignore 反而可能让服务不可达。
为什么设成 1 或 2 不能阻止别人伪造 ARP
arp_ignore 是“我收到来自别人的 ARP 问‘谁有 192.168.1.100？’，我答不答”的开关，不是“别人冒充我时我能拦住”的防火墙。攻击者发一个源 MAC 是 aa:bb:cc:dd:ee:ff、源 IP 是 192.168.1.100 的 gratuitous ARP，你的机器照收照学——arp_ignore 完全不参与这个过程。它只影响你作为“被询问方”时的应答行为。
- ARP 欺骗依赖的是目标主机主动更新自己的 ARP 缓存，而内核默认会接受并覆盖缓存项
-
arp_ignore=1后，你对跨网卡的 ARP 请求不回复，但不影响别人伪造你、也不影响你学到错误条目 - 若把
arp_ignore=8（彻底禁 ARP 响应），连合法请求都拒了，业务直接中断
哪些场景下改 arp_ignore 看似像在“防欺骗”，其实是解决别的问题
常见误解：看到多网卡同网段时连接抖动，一查有 ARP 漂移，就以为是“被攻击”，急着调 arp_ignore。其实那是内核默认行为引发的路径混乱，和外部欺骗无关。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 典型症状：eth0 和 eth1 都配了
192.168.1.10/24，交换机 MAC 表反复刷新，SSH 连接频繁断开 - 根本原因：
arp_ignore=0（默认）导致 eth0 收到对 192.168.1.10 的请求，eth1 也响应，交换机学到两个端口映射同一 IP - 正确做法：
echo 1 > /proc/sys/net/ipv4/conf/eth0/arp_ignore+echo 1 > /proc/sys/net/ipv4/conf/eth1/arp_ignore，再配arp_announce=2 - 这不是防欺骗，是避免自扰；它不降低被伪造风险，但能稳定本地路由
真要降低 ARP 欺骗影响，该做什么
内核层面可做的有限，且必须组合使用，单点配置无效：
- 启用
net.ipv4.conf.all.arp_accept = 0：拒绝接受 gratuitous ARP（但部分旧内核不支持，且可能影响 DHCP 续租） - 设
net.ipv4.conf.all.accept_local = 1+net.ipv4.conf.all.rp_filter = 1：配合反向路径校验，丢弃源 IP 不属于入接口直连网段的包（对欺骗流量有间接过滤作用） - 用
ip neigh add 192.168.1.1 lladdr 00:11:22:33:44:55 dev eth0 nud permanent手动绑定关键网关 MAC，但需定期维护，不适用于动态环境 - 更实用的是用户态工具：部署
arpwatch监控异常变化，或用arpspoof -t主动探测局域网是否存在响应异常的 IP
最容易被忽略的坑：all 和单网卡值的优先级冲突
很多人写完 net.ipv4.conf.eth0.arp_ignore = 1 就以为搞定了，却忘了 net.ipv4.conf.all.arp_ignore = 0 还在生效——而内核实际取的是两者中的较大值。结果 eth0 的设置被 all 覆盖，还是默认行为。
- 验证命令必须带网卡名：
sysctl net.ipv4.conf.eth0.arp_ignore，不能只看sysctl net.ipv4.conf.all.arp_ignore - 永久配置时，
/etc/sysctl.conf中all和具体网卡行都要显式写出，且数值不能矛盾 - 修改后务必用
tcpdump -i eth0 arp实际抓包验证：只应在对应网卡收到匹配其 IP 的 ARP 请求时看到 reply
