说明：

现在网络上ARP类病毒及其变种越来越多，导致网络时断时续，严重影响到公司关健业务如ARP/CRM/OA/APS等应用系统的运行。同时很多用户投诉我们网络部，而我们有苦难言。在采取了一定的技术手段后，目前一切运行正常。即使有ARP病毒发作，影响面很少。针对ARP类病毒，我个人观点如下：

一、      检查ARP病毒

检查网络中是否有ARP类病毒，有如下方法：

1、  在PC电脑上，输入arp –a 如果看到的网关的MAC和实际不一样，则可以是感染了ARP类病毒

2、  在中心交换机上，输入：sh arp 看到很多IP地址对应的MAC一样，则说明那个MAC的电脑感染了病毒 （远程×××用户的IP地址除外，因为×××用户拨入成功并获取IP地址后，IP对应的是×××服务器上的MAC地址）

3、  也可以在路由器或交换机上使用debug arp查看或sh logging显示有IP地址冲突信息

4、  如果网关为linux，可以使用命令：tcpdump -nn –i eth0 arp检测，如果出现如下信息，则说明192.168.0.2感染了arp病毒。

15:01:53.597121 arp who-has 192.168.0.1 tell 192.168.0.2

15:01:53.597125 arp who-has 192.168.0.1 tell 192.168.0.2

15:01:53.617436 arp who-has 192.168.0.2 tell 192.168.0.2

15:01:53.617440 arp who-has 192.168.0.2 tell 192.168.0.2

15:01:53.637942 arp who-has 192.168.0.3 tell 192.168.0.2

15:01:53.637946 arp who-has 192.168.0.3 tell 192.168.0.2

15:01:53.658452 arp who-has 192.168.0.4 tell 192.168.0.2

15:01:53.658456 arp who-has 192.168.0.4 tell 192.168.0.2

15:01:53.678963 arp who-has 192.168.0.5 tell 192.168.0.2

15:01:53.678967 arp who-has 192.168.0.5 tell 192.168.0.2

15:01:53.699464 arp who-has 192.168.0.6 tell 192.168.0.2

…………………

5、  使用sniffer，并在交换机上配置SPAN口抓包分析。具体操作可以参考我的其它文章

6、  安装Anti ARP sniffer等之类的软件也可以检测，也可以使用NBTSCAN检测。

7、  如果网络一会断开，一会又好了，很可能是arp病毒在作怪（当然也可能是其它网络故障，如STP问题，特此声明喜欢钻牛角尖的人找我面谈，我给他吃一块钻头）

8、  其它

二、      防范ARP病毒

可采取如下措施：

1、  如果条件允许，可以在交换机上配置port-security特性，即某个端口仅允许某个或某些MAC进出，这样即使中了ARP病毒，也不会影响网络，命令如下：

interface FastEthernet0/1
port security max-mac-count 1
mac-address-table secure 0000.0000.0010 FastEthernet0/1 vlan 1

。。。。。。。。。

（因大部分公司网络不可能都是中高端交换机，不具有此项管理功能。因此无法配置端口安全）

2、  在交换机或网关路由器上进行IP地址与MAC地址的绑定，命令如下：

arp 192.168.1.x  000d.bcb9.d480  arpa

……………

3、  通过组策略使用计算机启动时自动进行静态ARP绑定，如建立一下antiarp.bat，内容如下：

@echo off

arp -d

arp -s 192.168.1.254   00-03-47-e0-8e-1e 此为网关

arp -s 192.168.1.253   00-18-19-00-40-00 此为×××线路网关

arp -s 192.168.1.1     00-0d-bc-b9-d4-80 此为ERP服务器

…………………

@echo on

注：一般仅绑定网关即可

4、  也可以在电脑上安装防arp病毒之类的软件，如Anti ARP Sniffer等。

5、  如果小公司的网关路由器具有防arp欺骗功能，则可以开启此功能，有一定的效果

6、  防病毒软件虽然基本上每台电脑都会安装的，但对它不要抱太大希望，根据本人的经验，一般防病毒软件不能防止ARP类病毒

7、  管理员定期检查网络。（可以编写一个脚本，定期检查网络，发现断开就立即进行邮件提醒）

8、  使用防火墙监控网络或网络管理软件进行监控。

9、  其它

注：以上方法都用，乃ARP病毒终极解决方法。

转自：http://blogold.chinaunix.net/u/9284/showart_252309.html