ARP欺骗攻击需从设备防护、Trust接口绑定和IP-MAC双向静态绑定三方面协同防御：启用arp anti-attack gateway-duplicate、配置arp trust source、路由器与终端同步绑定网关IP-MAC，并辅以免费ARP与严格学习机制。

在公共网络环境中，ARP欺骗攻击尤为常见，攻击者容易通过伪造网关MAC地址劫持流量、窃听数据甚至中断上网。要真正保护网关安全，不能只靠单一手段，需从设备侧防护、绑定机制和终端协同三方面入手。

在网关设备上启用ARP防网关冲突功能

该功能可识别并拦截仿冒网关IP的非法ARP报文，是防御网关被冒用的第一道防线。

• 进入系统视图：system-view
• 全局开启防护：arp anti-attack gateway-duplicate enable
• 该命令适用于S7700、S9300X、AR系列等华为/华三主流企业设备，缺省为关闭状态，必须手动启用
• 生效后，若某接口收到源IP等于VLANIF接口IP的ARP报文（且非VRRP虚MAC），设备将自动丢弃同VLAN+同源MAC的后续ARP报文一段时间

配置ARP网关保护（Trust接口机制）

明确指定哪些接口“可信”，只允许来自这些接口的合法网关ARP响应通过，其他方向的网关ARP一律丢弃。

• 进入连接真实网关的物理或逻辑接口视图，例如：interface gigabitethernet 1/0/1
• 绑定网关IP并标记为可信：arp trust source 192.168.1.1（替换为实际网关IP）
• 每个接口最多支持8个网关IP，整机最多32个；重复配置相同网关IP会被分别计数
• 此方式特别适合多出口、双机热备或存在旁路设备的公共网络场景

实施IP-MAC双向静态绑定

仅在路由器上绑定用户设备不够，必须同步在终端上固化网关MAC，才能切断欺骗链路。

• 路由器端：登录管理界面 → 安全管理 → ARP防护 → IP-MAC绑定 → 手动添加或扫描添加（建议先清空ARP缓存再扫描，避免误绑）
• 启用策略时勾选“仅允许绑定条目通信”，防止未授权设备接入
• 终端侧（Windows示例）：arp -s 192.168.1.1 00-11-22-33-44-55（需管理员权限，重启失效；如需持久化，可用组策略或启动脚本）
• 终端侧（Linux）：sudo arp -i eth0 -s 192.168.1.1 00:11:22:33:44:55

辅助加固：启用免费ARP与严格学习

主动刷新终端ARP表，并限制网关设备仅响应自身发起的ARP请求，进一步压缩攻击窗口。

• 在网关上启用免费ARP广播：arp send gratuitous-arps enable（部分型号为arp gratuitous-arps enable）
• 开启ARP严格学习：arp learning strict，确保只学习自己发出ARP请求后的应答报文
• 二者配合可有效对抗静默攻击和慢速欺骗，尤其适用于人员流动大、终端不可控的公共Wi-Fi环境