内容导航：
- 怎么防arp攻击
- 路由器怎么设置可以防ARP
- 在家用路由器怎么防止ARP病毒攻击
一、怎么防arp攻击
方法一：
首先安装arptables:
sudo apt-get install arptables
然后定义规则：
sudo arptables -A INPUT –src-mac ! 网关物理地址 -j DROP
sudo arptables -A INPUT -s ! 网关IP -j DROP
sudo arptables -A OUTPUT –destination-mac ff:ff:ff:ff:ff:ff -j ACCEPT
不过这样就有一点不好，局域网内的资源不能用！
sudo arptables -F
当然我们可以做个脚本，每次开机的时候自动运行！~sudo gedit /etc/init.d/arptables，内容如下：
#! /bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
arptables -A INPUT –src-mac ! 网关物理地址 -j DROP
arptables -A INPUT -s ! 网关IP -j DROP
arptables -A OUTPUT –destination-mac ff:ff:ff:ff:ff:ff -j ACCEPT
然后给arptables加个execution的属性，
sudo chmod 755 /etc/init.d/arptables
再把arptables设置自动运行，
sudo update-rc.d arptables start 99 S .
用sysv-rc-conf直接设置
方法二：
手工绑定arp
1、先使用arp和 arp -a查看一下当前ARP缓存列表
[root@ftpsvr ~]# arp
Address HWtype HWaddress Flags Mask Iface
192.168.1.234 ether 00:04:61:AE:11:2B C eth0
192.168.1.145 ether 00:13:20:E9:11:04 C eth0
192.168.1.1 ether 00:02:B3:38:08:62 C eth0
说明：
Address：主机的IP地址
Hwtype：主机的硬件类型
Hwaddress：主机的硬件地址
Flags Mask：记录标志，”C”表示arp高速缓存中的条目，”M”表示静态的arp条目。
[root@ftpsvr ~]# arp -a
? (192.168.1.234) at 00:04:61:AE:11:2B [ether] on eth0
? (192.168.1.1) at 00:16:76:22:23:86 [ether] on eth0
2、新建一个静态的mac–>ip对应表文件：ip-mac，将要绑定的IP和MAC 地下写入此文件，格式为 ip mac。
[root@ftpsvr ~]# echo ‘192.168.1.1 00:02:B3:38:08:62 ‘ > /etc/ip-mac
[root@ftpsvr ~]# more /etc/ip-mac
192.168.1.1 00:02:B3:38:08:62
3、设置开机自动绑定
[root@ftpsvr ~]# echo ‘arp -f /etc/ip-mac ‘ >> /etc/rc.d/rc.local
4、手动执行一下绑定
[root@ftpsvr ~]# arp -f /etc/ip-mac
5、确认绑定是否成功
[root@ftpsvr ~]# arp
Address HWtype HWaddress Flags Mask Iface
192.168.0.205 ether 00:02:B3:A7:85:48 C eth0
192.168.1.234 ether 00:04:61:AE:11:2B C eth0
192.168.1.1 ether 00:02:B3:38:08:62 CM eth0
[root@ftpsvr ~]# arp -a
? (192.168.0.205) at 00:02:B3:A7:85:48 [ether] on eth0
? (192.168.1.234) at 00:04:61:AE:11:2B [ether] on eth0
? (192.168.1.1) at 00:02:B3:38:08:62 [ether] PERM on eth0
从绑定前后的ARP缓存列表中，可以看到网关（192.168.1.1）的记录标志已经改变，说明绑定成功
二、路由器怎么设置可以防ARP
路由器里设置静态IP/MAC绑定：打开路由器→DHCP服务器→静态地址分配→把每个人的IP地址和对应的MAC物理地址填上去→保存！！然后重启路由.
注：局域网内的每台计算机需设置固定IP地址。
设置IP地址可以在：网上邻居[右键–属性]→双击打开本地连接→属性→Internet 协议（TCP/IP）→属性 ！里设置
IP地址与网卡的MAC地址绑定，将绑定记录保存在路由器。
一旦局域网中哪台计算机的IP，与路由器上对应的MAC地址不一致，就断网。
MAC地址可以在： 网上邻居[右键–属性]→双击打开本地连接→选择“支持”选项卡–点“详细信息”按钮。
“实际地址”后的一串16进制数字就是MAC地址。
三、在家用路由器怎么防止ARP病毒攻击
不要把你的网络安全信任关系建立在IP基础上或MAC基础上。
设置静态的MAC–>IP对应表，不要让主机刷新你设定好的转换表。
除非必要，否则停止ARP使用，把ARP做为永久条目保存在对应表中。
使用ARP服务器。
确保这台ARP服务器不被黑。
使用”proxy”代理IP传输。
使用硬件屏蔽主机。
定期用响应的IP包中获得一个rarp请求，检查ARP响应的真实性。
定期轮询，检查主机上的ARP缓存。
使用防火墙连续监控网络。
〇解决方案
建议采用双向绑定解决和防止ARP欺骗。
在电脑上绑定路由器的IP和MAC地址
首先，获得路由器的内网的MAC地址（例如HiPER网关地址192.168.16.254的MAC地址为0022aa0022aa局域网端口MAC地址>）。
编写一个批处理文件rarp.bat内容如下：
@echo off
arp -d
arp -s 192.168.16.254 00-22-aa-00-22-aa
将网关IP和MAC更改为您自己的网关IP和MAC即可，让这个文件开机运行(拖到“开始-程序-启动”)。