可通过配置静态ARP映射表防范ARP欺骗攻击，具体方法包括：一、用ip neigh命令添加临时permanent条目；二、修改/etc/arp-tables并配置if-up.d脚本实现开机持久化；五、通过安全中心图形界面启用ARP防护策略。
如果您在银河麒麟操作系统中需要防范ARP欺骗攻击，则可通过配置静态ARP映射表来固化关键IP地址与MAC地址的对应关系，从而阻止伪造ARP报文对ARP缓存的篡改。以下是适用于银河麒麟V10 SP1及后续版本的多种配置方法：
一、使用ip neigh命令配置临时静态ARP表项
该方法通过Linux内核网络子系统的邻居子系统直接添加不可被动态更新的ARP条目，适用于快速验证或临时防护场景，重启后失效。
1、以root权限打开终端。
2、执行命令：ip neigh replace 192.168.1.100 lladdr 00:11:22:33:44:55 dev eth0 nud permanent，其中192.168.1.100为需绑定的IP，00:11:22:33:44:55为对应合法MAC，eth0为实际出接口。
3、执行ip neigh show确认条目状态为permanent。
4、执行ping -c 3 192.168.1.100测试连通性是否正常。
二、修改/etc/arp-tables文件实现开机持久化绑定
银河麒麟支持通过系统级ARP表初始化机制，在网络服务启动时自动加载预定义的静态ARP条目，确保每次启动后均生效。
1、创建或编辑ARP初始化文件：sudo nano /etc/arp-tables。
2、在文件中按行写入格式为“IP地址 MAC地址 接口名”的条目，例如：192.168.1.1 00:e0:fc:12:34:56 eth0。
3、保存退出后，编辑网络服务启动脚本：sudo nano /etc/network/if-up.d/arp-static。
4、在该脚本中添加执行逻辑：while read ip mac iface; do [ -n "$ip" ] && ip neigh replace $ip lladdr $mac dev $iface nud permanent 2>/dev/null; done 。
5、赋予脚本可执行权限：sudo chmod +x /etc/network/if-up.d/arp-static。
三、结合systemd服务实现独立静态ARP守护
该方式将静态ARP绑定封装为独立systemd单元，具备启动顺序控制、失败重试和日志追踪能力，适合生产环境部署。
1、创建服务文件：sudo nano /etc/systemd/system/static-arp.service。
2、填入以下内容：
[Unit]
Description=Static ARP Binding Service
After=network.target
[Service]
Type=oneshot
ExecStart=/usr/bin/bash -c 'ip neigh replace 192.168.1.200 lladdr aa:bb:cc:dd:ee:ff dev bond0 nud permanent'
RemainAfterExit=yes
[Install]
WantedBy=multi-user.target
3、重载systemd配置：sudo systemctl daemon-reload。
4、启用并启动服务：sudo systemctl enable --now static-arp.service。
四、利用防火墙模块配合ebtables限制非法ARP帧
银河麒麟内置iptables/ebtables框架，可在数据链路层拦截源MAC与IP不匹配的ARP请求与应答，构成静态ARP的补充防线。
1、安装ebtables工具（如未预装）：sudo apt install ebtables。
2、添加规则禁止非授权MAC发送ARP请求：sudo ebtables -A OUTPUT -p IPv4 --ip-protocol 0x0806 -s ! 00:11:22:33:44:55 -j DROP。
3、添加规则禁止非法IP-MAC组合响应：sudo ebtables -A INPUT -p IPv4 --ip-protocol 0x0806 --arp-ip-src 192.168.1.100 --arp-mac-src ! 00:11:22:33:44:55 -j DROP。
4、保存规则至持久化配置：sudo ebtables-save > /etc/ebtables.rules，并在网络启动脚本中加入加载命令。
五、通过银河麒麟安全中心启用ARP防护策略
银河麒麟V10 SP1及以上版本集成图形化ARP防护模块，无需命令行操作即可完成基础静态绑定与异常检测联动。
1、点击桌面左下角“开始菜单”，进入“安全中心”。
2、在左侧导航栏选择“网络保护”→“ARP防护”。
3、点击“添加受信设备”，输入目标IP地址、MAC地址及所属物理接口。
4、勾选启用静态绑定与阻断非法ARP更新选项。
5、点击“立即应用”，系统自动调用底层netlink接口完成绑定并注入防护规则。
