技术干货 2026-10-30 企业数据管家文：诚鑫技术团队本文由 AI 辅助生成，经人工审核后发布

网关的ARP表被人改：静态ARP把关键设备的地址焊死

整理自华为官方发布的典型配置案例。

ARP攻击的破坏手法很直接：伪造ARP报文把网关设备上动态学习来的IP-MAC映射改掉，被改的用户立刻断网，被冒充的服务器立刻失联。动态ARP表项能被更新、能被老化，这在正常时候是灵活性，被攻击时就成了软肋。华为官方文档给的静态ARP正好顶住这个位置——手工建立的IP与MAC固定映射，不会被老化，也不会被动态表项覆盖，攻击报文改不动它。

三个适用场景

官方文档列了三类适合配静态ARP的场景，都是网关设备上的活：

重要设备（如服务器）：在交换机上为它配静态ARP，防止它的ARP表项被攻击报文错误更新，保住用户与重要设备间的通信；
用户设备MAC是组播MAC地址：设备缺省不学习源MAC为组播MAC的ARP报文，这时需要静态ARP补上映射；
想禁止某个IP访问设备：把这个IP绑到一个不存在的MAC地址上，访问直接无路可走。

要留意设备规格：静态ARP表项数目不能超过设备规格上限，display arp statistics all可查当前表项数量。

案例：总裁办与备份服务器被ARP病毒盯上

官方案例的现象很有代表性：企业各部门经Switch互联、分属不同VLAN，总裁办公室和文件备份服务器用固定IP，市场部主机能访问外网、经常感染ARP病毒，攻击Switch并修改它的动态ARP表项——后果是总裁办与外界通信中断，各部门访问不了文件备份服务器。

配置思路两条：在Switch上为总裁办公室主机配一条静态ARP，为文件备份服务器配一条静态ARP，两条映射焊死后，攻击报文改不动。

配置：接口打底加两条静态ARP

先建VLAN10并配VLANIF地址：

<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 10
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type access
[Switch-GigabitEthernet1/0/1] port default vlan 10
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 10.164.1.20 24
[Switch-Vlanif10] quit

两个三层口配地址（不支持undo portswitch的设备可用VLANIF替代，官方给了这个退路）：

[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] undo portswitch
[Switch-GigabitEthernet1/0/2] ip address 10.164.10.10 24
[Switch-GigabitEthernet1/0/2] quit

核心就两行：arp static把IP、MAC、VLAN、接口一次钉死。总裁办主机在VLAN10内，带vid参数；备份服务器直连三层口，只绑接口：

[Switch] arp static 10.164.1.1 00e0-fc01-0001 vid 10 interface gigabitethernet 1/0/1 //为总裁办公室主机配置静态ARP表项
[Switch] arp static 10.164.10.1 00e0-fc02-1234 interface gigabitethernet 1/0/2 //为文件备份服务器配置静态ARP表项

验证

display arp static列出静态表项，TYPE列的S–就是静态标志，映射关系与配置一一对应：

[Switch] display arp static
IP ADDRESS      MAC ADDRESS     EXPIRE(M) TYPE        INTERFACE   VPN-INSTANCE
                                          VLAN/CEVLAN
------------------------------------------------------------------------------
10.164.1.1      00e0-fc01-0001            S--         GE1/0/1
                                            10/-
10.164.10.1     00e0-fc02-1234            S--         GE1/0/2
                                            40/-
------------------------------------------------------------------------------
Total:2         Dynamic:0       Static:2     Interface:0

连通性按案例口径测两个方向：总裁办主机ping外网口通、市场部与研发部主机ping文件备份服务器通，说明关键映射已受保护。

防线要成套

静态ARP保护的是网关侧的映射不被改，属于"守己方阵地"；要连攻击源头一起治理，得和动态ARP检测、IPSG这类接入侧手段配套——网关焊映射、接入查伪造，两层合起来ARP病毒才无处下手。另外静态ARP是手工活，服务器换网卡或换IP后记得同步改表项，把这两条映射写进设备台账，变更时照单更新。

关键设备的地址要焊得稳，贵州诚鑫致达科技可以帮你把ARP防护做成成套方案，欢迎搜索关注交流。

企业存储选型参考｜贵州诚鑫致达

小团队起步上手 NAS，群晖机型参考：DS425+ · DS224+ · DS124。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。遵义、六盘水、安顺：群晖 NAS 部署与企业存储技术服务。