静态 ARP 绑定是什么
静态 ARP 是把某个 IP 与 MAC 的对应关系手工写入邻居表并长期保留（Linux 用 nud permanent，Windows 用 netsh 添加 neighbors）。它用于关键设备——网关、存储、集群心跳地址——避免 ARP 欺骗与缓存过期造成的抖动。代价是维护成本：对端更换网卡或做冗余切换后如果没更新绑定，通讯会突然全断且不留日志。
基本信息
| 适用平台 | Linux（ip neigh 的 nud permanent）、Windows（netsh interface ip） |
|---|---|
| 权限要求 | Linux 需 root；Windows 需管理员 |
| 典型对象 | 网关、存储前端、集群心跳、固定用途的服务器 |
| 维护要求 | 对端硬件变更必须同步更新，否则直接不通 |
典型使用场景
- 网关固定地址：避免网关 MAC 被伪造导致流量劫持
- 存储与集群心跳：链路抖动会直接影响业务，绑定可提升稳定性
- 生产网段防 ARP 欺骗的辅助手段：与 DHCP Snooping、动态 ARP 检测配合使用
- 排障期间临时固定：确认某条链路是否因缓存抖动导致间歇不通
Linux 静态邻居
Linux 静态邻居
# 添加永久条目
ip neigh add 10.0.0.1 lladdr 00:11:22:33:44:55 dev eth0 nud permanent
# 确认条目状态为 PERMANENT
ip neigh show | grep PERMANENT
# 等价的老写法
arp -s 10.0.0.1 00:11:22:33:44:55
# 撤销绑定
ip neigh del 10.0.0.1 dev eth0Windows 静态 ARP
Windows 静态 ARP
# 添加静态邻居（接口名按实际填写）
netsh interface ip add neighbors "Ethernet" 10.0.0.1 00-11-22-33-44-55
# 查看当前邻居表
netsh interface ip show neighbors "Ethernet"
# 删除静态条目
netsh interface ip delete neighbors "Ethernet" 10.0.0.1适用性对照
| 场景 | 是否建议静态绑定 | 理由 |
|---|---|---|
| 网关地址 | 建议 | 防欺骗收益高，变更频率低 |
| 存储与心跳 | 建议 | 链路稳定性要求高 |
| 普通服务器群 | 不建议 | 数量大、变更频繁，维护成本高于收益 |
| 虚拟机密集环境 | 谨慎 | 迁移频繁，绑定易失效 |
绑定前先用 arping 或交换机命令确认真实 MAC：绑定错误的 MAC 会造成单向全丢，而且因为不产生错误日志，极难排查。
静态 ARP 不能替代正规防护：它是局部加固手段，防 ARP 欺骗应以 DHCP Snooping 与动态 ARP 检测为主，静态绑定只能作为关键地址的补充。