不了解ARP的同学，看下面来自http://www.oxid.it/的演示：
简单点儿说：之所以有ARP攻击是因为ARP协议本身设计的缺陷。网络设备在动态更新系统的ARP表时，会被恶意欺骗。ARP协议是在2层设备（数据链路层：交换机）之间传递的协议，ARP包可以在整个“冲突域”中传递。而一般而言，一个冲突域就是一个子网。VLAN就是设计用来隔离“冲突域”的，所以VLAN可以隔离ARP攻击。简单点说，就是不要和攻击者在一个子网。可惜不是所有的IDC都提供单独的子网（VLAN）给用户，因为划分子网会浪费IP地址。
解决ARP攻击，有几种方法：
第一：使用独立的VLAN（子网）。VLAN（子网）实际上划分了一个ARP安全域，在这个VLAN里的机器之间逻辑上是互相信任的，VLAN将其他不信任、不安全的设备隔离在ARP协议发挥作用的区域之外，这样便可以不用担心“邻居”中毒而受到连累。这是最保险的做法。但是，假如自家VLAN（网段）里有机器中毒进行攻击，则网络仍然会乱作一团。
第二：网关与服务器双双使用静态ARP记录。之前写过一篇《防止ARP中间人攻击的一个技巧》提到过。简单的点儿说就是在网关（路由器）上设定服务器网卡的MAC，在服务器上设定网关的MAC为静态。这样，路由器和服务器就不会再更新对应的ARP记录，就不会被欺骗。这个方法可以隔离每一台设备，而不用划VLAN（划子网浪费IP），比较适合单设备托管的用户。然而，绝大多数ISP都不会为用户做MAC绑定。而对于设备比多的用户，网关绑定MAC后，每次设备换IP都需要ISP重新设定MAC绑定，比较麻烦；而使用了某些用到ARP机制的应用，在绑定的环境下，则可能会运行不起来，比如HA集群中的failover切换。
第三，被动侦测，以毒攻毒。之前写过一篇关于send_arp的blog，其中无意间提到过这个方法。就是使用send_arp程序，纠正错误的ARP记录。之所以说是以毒攻毒，是因为send_arp程序本身就是一个利用ARP协议缺陷的程序。
另外，需要说明的是。有些ISP以端口保护为技术手段，认为可以阻止ARP攻击，实际上，这种技术是不能完全阻止ARP攻击的。
端口保护（有的称为PVLAN，不知道是不是相同的技术）之后，交换机上的端口下连接的设备只能和网关通信，不可以和“邻居”通信。这样可以起到一定的保护作用。但是，你的“邻居”，仍然是可以访问你的网关的（你们是同一个网关）。它只要欺骗网关，告诉网关你的MAC地址为一个错误的地址，或者干脆改成自己的MAC，那么，你的服务器就会断网，因为网关发给你的服务器的包，发到了错误的MAC地址上。
解决办法，就以毒攻毒。使用send_arp，强制让网关更新关于你的ARP（MAC）记录：send_arp 你的IP地址 你绑定该IP网络接口的MAC 你网关的IP 你网关的MAC
这个命令十分有用。管理员可能都会有这么一种经历，将一个IP地址调整到另一台服务器上的时候，会有一段时间这个IP是不通的。这个时候，这个工具又可以发挥作用了：使用相同的命令格式。
需要说明的是，send_arp命令是不需要必须在本地运行的，在网一网段（VLAN）内的任意主机上执行即可。
解决问题的基本思想是在同网段的机器上，执行两个send_arp，一个是发给网关的，一个是发给被攻击的主机的。
实际上，可以写一个角本，放在本地，使用crontab每两分钟运行一次，假如被ARP攻击，则自行通知网关更新相应的ARP记录。
首先将网关MAC绑定成静态：将下面的命令添加到/etc/rc.local
arp -s 网关IP 网关MAC
cat /opt/cron/moniter_gw.sh
#!/bin/bash
# gw_ip=网关地址
# gw_hw=网关MAC
gw_ip=192.168.0.1
local_ip=192.168.0.45
local_hw= 00:14:78:07:23:00
if ping -c1 -w5 ${gw_ip} ; do
:
else
/usr/local/bin/send_arp ${local_ip} ${local_hw} ${gw_ip} ${gw_hw}
done
crontab :
*/2 * * * * /bin/bash /opt/cron/moniter_gw.sh
