在局域網(wǎng)中，通信前必須通過(guò)ARP協(xié)議來(lái)完成IP地址轉(zhuǎn)換為第二層物理地址（即MAC地址）。ARP協(xié)議對(duì)網(wǎng)絡(luò)安全具有重要的意義。通過(guò)偽造IP地址和MAC地址實(shí)現(xiàn)ARP欺騙，對(duì)網(wǎng)絡(luò)的正常傳輸和安全都是一個(gè)很嚴(yán)峻的考驗(yàn)。

目前知道的帶有ARP欺騙功能的軟件有“QQ第六感”、“網(wǎng)絡(luò)執(zhí)法官”、“P2P終結(jié)者”、“網(wǎng)吧傳奇殺手”等，這些軟件中，有些是人為手工操作來(lái)破壞網(wǎng)絡(luò)的，有些是作為病毒或者木馬出現(xiàn)，使用者可能根本不知道它的存在，所以更加擴(kuò)大了ARP攻擊的殺傷力。

從影響網(wǎng)絡(luò)連接通暢的方式來(lái)看，ARP欺騙有兩種攻擊可能，一種是對(duì)路由器ARP表的欺騙；另一種是對(duì)內(nèi)網(wǎng)電腦ARP表的欺騙，當(dāng)然也可能兩種攻擊同時(shí)進(jìn)行。不管怎么樣，欺騙發(fā)生后，電腦和路由器之間發(fā)送的數(shù)據(jù)可能就被送到錯(cuò)誤的MAC地址上，從表面上來(lái)看，就是“上不了網(wǎng)”，“訪問(wèn)不了路由器”，“路由器死機(jī)了”，因?yàn)橐恢貑⒙酚善�，ARP表會(huì)重建，如果ARP攻擊不是一直存在，就會(huì)表現(xiàn)為網(wǎng)絡(luò)正常，所以網(wǎng)吧業(yè)主會(huì)更加確定是路由器“死機(jī)”了，而不會(huì)想到其他原因。為此，寬帶路由器背了不少“黑鍋”。我們來(lái)看看如何來(lái)防止ARP欺騙。

上面也已經(jīng)說(shuō)了，欺騙形式有欺騙路由器ARP表和欺騙電腦ARP兩種，我們的防護(hù)當(dāng)然也是兩個(gè)方面的，首先在路由器上進(jìn)行設(shè)置，來(lái)防止路由器的ARP表被惡意的ARP數(shù)據(jù)包更改；其次，我們也會(huì)在電腦上進(jìn)行一下設(shè)置，來(lái)防止電腦的ARP表受惡意更改。兩個(gè)方面的設(shè)置都是必須的，不然，如果您只設(shè)置了路由器的防止ARP欺騙功能而沒有設(shè)置電腦，電腦被欺騙后就不會(huì)把數(shù)據(jù)包發(fā)送到路由器上，而是發(fā)送到一個(gè)錯(cuò)誤的地方，當(dāng)然無(wú)法上網(wǎng)和訪問(wèn)路由器了。

下面就以TL-ER5110為例說(shuō)明使用ER系列路由器組網(wǎng)時(shí)如何設(shè)置防ARP欺騙。

一、設(shè)置前準(zhǔn)備

當(dāng)使用了防止ARP欺騙功能（IP和MAC綁定功能）后，最好是不要使用動(dòng)態(tài)IP，因?yàn)殡娔X可能獲取到和IP與MAC綁定條目不同的IP，這時(shí)候可能會(huì)無(wú)法上網(wǎng)，可參考以下設(shè)置。

1）把路由器的DHCP功能關(guān)閉：打開路由器管理界面，“DHCP服務(wù)器”－＞“DHCP服務(wù)”，把狀態(tài)由默認(rèn)的“啟用”更改為“不啟用”，保存并重啟路由器。

2）給電腦手工指定IP地址、網(wǎng)關(guān)、DNS服務(wù)器地址，如果您不是很清楚當(dāng)?shù)氐腄NS地址，可以咨詢您的網(wǎng)絡(luò)服務(wù)商。

二、設(shè)置路由器防止ARP欺騙

打開路由器的管理界面，在ARP防護(hù)界面中可以看到：

其中

僅允許IP MAC綁定的數(shù)據(jù)包通過(guò)路由器：開啟此功能之后路由器不再學(xué)習(xí)更新自己的ARP表，只允許完全符合已綁定ARP條目的數(shù)據(jù)包通過(guò)路由器。表現(xiàn)為新接入路由器的計(jì)算機(jī)，若沒有添加IP與MAC地址對(duì)應(yīng)關(guān)系，該計(jì)算機(jī)是不能與路由器進(jìn)行通訊的�；蛘呗酚善飨碌挠�(jì)算機(jī)更改了其IP地址，導(dǎo)致與路由器上記錄的IP與MAC對(duì)應(yīng)關(guān)系不一致，也無(wú)法進(jìn)行通訊。

允許路由器在發(fā)現(xiàn)ARP攻擊時(shí)發(fā)送GARP包：GARP又稱作免費(fèi)ARP，是指通過(guò)路由器發(fā)送ARP包內(nèi)網(wǎng)的PC可以更新自己的ARP緩存，確保PC ARP表中網(wǎng)關(guān)及其MAC地址的對(duì)應(yīng)關(guān)系是正確的。

在添加IP與MAC地址綁定的時(shí)候，可以手工進(jìn)行條目的添加，也可以通過(guò)“ARP掃描”查看網(wǎng)絡(luò)中所有的IP與MAC地址的對(duì)應(yīng)關(guān)系，通過(guò)導(dǎo)入后，進(jìn)行綁定。

1、手工進(jìn)行添加，單擊“增加單個(gè)條目”。

手動(dòng)添加操作復(fù)雜，但是安全性高。在網(wǎng)絡(luò)中已經(jīng)存在ARP欺騙或者不確定網(wǎng)絡(luò)中是否存在ARP欺騙的情況下建議使用手動(dòng)添加的方式。

填好主機(jī)的IP和MAC地址，點(diǎn)擊新增，此綁定條目就設(shè)置完成了。同樣的方法逐條添加其余電腦的ARP條目。

2、通過(guò)“ARP掃描”，導(dǎo)入條目，進(jìn)行綁定。

這種方法簡(jiǎn)單快捷，但是要確定網(wǎng)絡(luò)中沒有ARP欺騙，否則綁定了錯(cuò)誤的IP MAC條目可能會(huì)導(dǎo)致內(nèi)網(wǎng)中某些主機(jī)上不了網(wǎng)。

打開“ARP掃描”窗口如下：

選擇全選，然后全部導(dǎo)入，所有的綁定條目就設(shè)置完成了。

注：ARP掃描的功能不僅僅可以掃描內(nèi)網(wǎng)網(wǎng)段，也可能掃描WAN口網(wǎng)段，這在一些外網(wǎng)中可能存在ARP欺騙的網(wǎng)絡(luò)中非常有用，我們可以通過(guò)掃描綁定前端網(wǎng)關(guān)地址防止前端ARP欺騙。

靜態(tài)IP地址接入線路，建議將前端網(wǎng)關(guān)的ARP信息綁定，綁定方法為：
1）、輸入網(wǎng)關(guān)地址掃描；

比如：

2）、選中--綁定--導(dǎo)入；

全部綁定條目設(shè)置完成之后如圖所示：

三、設(shè)置電腦防止ARP欺騙

僅僅只在路由器上綁定主機(jī)的MAC地址是不能完全解決ARP欺騙問(wèn)題的，還必須在主機(jī)上綁定路由器的MAC地址，進(jìn)行雙向綁定。

windows XP系統(tǒng)的設(shè)置方法：

在主機(jī)上建立一個(gè)文本文件，寫入ARP綁定命令：arp –s IP MAC，如下圖。

文本文件中填入的IP是路由器的管理地址，此處是192.168.1.1，MAC是路由器LAN口的MAC地址，此處是00-00-01-02-03-05。

保存之后修改其為.bat后綴的批處理文件，比如“arp.bat”。然后將其放入系統(tǒng)啟動(dòng)項(xiàng)中，以后系統(tǒng)每次開機(jī)時(shí)都會(huì)執(zhí)行這個(gè)綁定命令，將路由器的管理IP和MAC地址進(jìn)行綁定。如圖所示：

至此全部的設(shè)置就完成了，以后您就再也不用擔(dān)心ARP欺騙給網(wǎng)絡(luò)帶來(lái)的影響了。

Windows Vista和Windows 7系統(tǒng)的設(shè)置方法：

1、管理員身份運(yùn)行命令提示符。

2、命令：netsh -c i i show in 查看網(wǎng)絡(luò)連接準(zhǔn)確名稱。如：本地連接、無(wú)線網(wǎng)絡(luò)連接。

3、執(zhí)行綁定:netsh -c i i add neighbors "網(wǎng)絡(luò)連接名稱" "IP地址" "MAC地址"。

4、綁定完成，電腦重啟靜態(tài)ARP不失效，不用像XP一樣建批處理文件。

如圖所示：