禁用网卡混杂模式是阻断内网嗅探最基础有效的手段；需通过ifconfig或ip link确认并使用-ifconfig eth0 -promisc等命令禁用，同时限制权限、审计日志、配合关闭IP转发、ARP绑定及网络加密等措施。

禁用网卡混杂模式是阻断内网嗅探最基础也最有效的手段之一。混杂模式一旦启用，网卡会接收所有经过它的数据帧（不限目标MAC），这正是ARP欺骗、中间人攻击和明文抓包的前提。服务器若长期处于该状态，极易成为内网监听跳板。

确认当前是否处于混杂模式

在Linux服务器上执行：
ifconfig -a | grep -A 1 "PROMISC" 或
ip link show | grep -A 1 "PROMISC"
若输出中某接口的flags含 PROMISC（如 flags=4163<UP,BROADCAST,RUNNING,MULTICAST> 变为 flags=4419<UP,BROADCAST,RUNNING,PROMISC,MULTICAST>），说明已启用。

立即禁用混杂模式

使用以下任一命令（需root权限）：
• ifconfig eth0 -promisc（替换eth0为实际网卡名）
• ip link set eth0 down && ip link set eth0 up（重启接口可清除混杂标志）
• 若用systemd-networkd或Netplan管理，检查配置文件中是否误加 promiscuous: true 并删除。

防止被恶意重新启用

混杂模式只能由root或CAP_NET_RAW权限进程设置，因此：
• 禁用不必要的sudo权限，尤其限制非运维人员对ifconfig/ip命令的使用
• 审计系统日志：检查 /var/log/secure 或 journalctl -u systemd-networkd 中是否有 promisc 相关操作记录
• 部署轻量级检测脚本，每5分钟扫描一次 ifconfig -a 输出，发现PROMISC即告警并自动执行 ifconfig xxx -promisc

配合其他基础防护措施

单靠禁用混杂模式不够，还需同步加固：
• 关闭IP转发（sysctl net.ipv4.ip_forward=0），避免服务器被用作流量中转节点
• 启用ARP绑定（如 arp -s 网关IP 网关MAC）或部署静态ARP表，抑制ARP欺骗
• 在交换机侧关闭端口安全策略外的混杂模式（尤其VMware ESXi端口组中默认应设为“拒绝”）
• 对关键服务器启用网络层加密（如IPsec或MACsec），使即使被截获也无法解密内容

不复杂但容易忽略。真正起作用的不是某一条命令，而是把“非必要不开启、开启必审计、开启必限时”变成运维习惯。