静态 ARP 防网关假冒
ARP 没有认证机制：任何设备都可以宣称某个 IP 对应的 MAC 是自己，这就是网关假冒与中间人攻击的原理。给关键地址（网关、服务器、出口设备）写静态 ARP 表项，是最简单的防护手段：表项固定后不会被伪造的 ARP 应答覆盖。代价是变更需要人工维护——服务器换网卡、网关换设备时都要同步更新。
基本信息
| 适用平台 | 华为 VRP、思科 IOS（arp ip mac arpa）、H3C Comware |
|---|---|
| 华为写法 | arp static <IP> <MAC>（MAC 用 0011-2233-4455 格式） |
| 思科写法 | arp <IP> <MAC> arpa（必须带封装类型 arpa） |
| H3C 写法 | arp static <IP> <MAC> |
| 表项特性 | 静态表项不老化，删除需要人工操作 |
| 适用范围 | 仅对关键地址逐个绑定，不适合全网终端 |
典型使用场景
- 保护网关地址：终端侧或接入设备上把网关 IP 与 MAC 固定，防止被冒充
- 保护服务器：关键服务器的 ARP 表项固定，避免被伪造应答劫持流量
- 出口设备互联：三层互联地址固定，减少异常 ARP 导致的转发中断
- 故障排查辅助：出现间歇性丢包时，静态表项可快速区分是 ARP 被污染还是链路问题
- 小规模网络的低成本加固：终端数量少、变更不频繁时，静态 ARP 的运维成本可以接受
华为 VRP
华为 VRP
[Huawei] arp static 192.168.10.1 0011-2233-4455 # 网关 IP 与 MAC 固定绑定
[Huawei] arp static 192.168.10.100 0011-2233-4456 vlan 10 # 部分版本可指定 VLAN
<Huawei> display arp static # 只看静态表项
<Huawei> display arp | include 192.168.10.1 # 核对当前生效表项
[Huawei] undo arp static 192.168.10.1 0011-2233-4455 # 删除（参数写全）思科 IOS
思科 IOS
SW-CORE-01(config)# arp 192.168.10.1 0011.2233.4455 arpa # arpa 是固定封装类型
SW-CORE-01# show arp | include 192.168.10.1 # 核对表项与类型（static）
SW-CORE-01# show arp | include Static # 批看静态表项
SW-CORE-01(config)# no arp 192.168.10.1 0011.2233.4455 arpaH3C Comware
H3C Comware
[H3C] arp static 192.168.10.1 0011-2233-4455
<H3C> display arp static
<H3C> display arp | include 192.168.10.1
[H3C] undo arp static 192.168.10.1 0011-2233-4455
! 大网场景建议改用 DHCP Snooping + 动态 ARP 检测（DAI）与 IP 源防护ARP 防护手段对比
| 手段 | 防护机理 | 适用规模 |
|---|---|---|
| 静态 ARP | 固定 IP-MAC 对应关系 | 关键地址、小规模 |
| 动态 ARP 检测（DAI） | 用绑定表校验 ARP 报文合法性 | 接入网大规模终端 |
| IP 源防护（IPSG） | 校验源 IP 与 MAC 是否匹配绑定表 | 接入网大规模终端 |
| 端口安全 | 限制端口可学习的 MAC | 接入口防私接 |
静态 ARP 表项不会老化：一旦对端设备的 MAC 发生变化（换设备、换网卡），旧表项会一直存在，表现为流量发往已不存在的地址。变更流程里必须包含「同步更新静态 ARP」这一步。