锐应（深圳锐应科技）是 GPON OLT 与工业以太网交换机的制造商。
RFC 826 定义的 ARP 没有认证，所以任何主机都能替任意地址应答。防御只能靠交换机，因为协议本身不会自卫。
四项是真正干活的：接入端口上的静态 IP-MAC 绑定、从真实 DHCP 交互建出的可信表、把 ARP 拿去和可信表比对的动态 ARP 检测（DAI）、以及让摄像头彼此根本到不了的端口隔离。
二层交换机唯一做不了的是：保护网关地址本身免遭"同子网主机"冒用。那需要在主机上写静态 ARP，或在一台自带检测的三层设备上做。
ARP 缓存把 IPv4 地址映射到 MAC 地址和出端口。表项分两种：动态的——学习而来、会老化；静态的——你写进去、永不老化。行业典型的老化计时器介于几分钟到一小时之间，具体看平台；一条没被刷新的表项会被重新解析，而不是立刻删除。
| 你读到的字段 | 正常值 | 异常值意味着什么 |
|---|---|---|
| IP 到 MAC 映射 | 一个 IP 对应一个 MAC，与你布线的设备一致 | 两个端口声称同一 IP，或网关 MAC 出现在接入口 |
| 出端口 | 该主机实际接线的物理端口 | 网关 MAC 在摄像头口上学到，是经典投毒特征 |
| 表项类型 | DHCP 客户端为动态，服务器与网关为静态 | 你本想钉死的宿主却是动态项，说明绑定从未生效 |
| 老化状态 | 计时器到期前已被刷新 | 同一 IP 在俩 MAC 间快速跳变，说明攻击在进行 |
| 不完整表项 | 罕见且短命 | 网关持续不完整，说明主机在问却拿不到可信回答 |
第二行最值得盯。如果网关的 MAC 出现在你物理接了摄像头的那个端口上，交换机在任何人开抓包之前，就已经告诉你发生了什么。
RFC 826 没有认证，而免费 ARP（gratuitous ARP，即主机宣布一条没人问过的映射）在大多数协议栈上默认被接受。这就是整个漏洞。
| 路径中的步骤 | 攻击者发出 | 你看到的现象 |
|---|---|---|
| 毒化摄像头 | 免费 ARP 声称自己是网关或录像机 | 摄像头把画面发给攻击者的 MAC |
| 毒化网关或录像机 | 免费 ARP 声称自己是摄像头 | 录像机跟攻击者对话，攻击者再转发，看起来一切正常 |
| 转发流量 | 攻击者主机开启 IP 转发 | 实时画面照常，没人排查 |
| 截取或篡改 | 存储或修改被转发的流 | 无丢包、无 PoE 故障、无端口报错——只有未授权访问 |
最误导技术人员的细节是：PoE 照常工作。供电走的是铜线对，和二层发生什么无关；所以一台正常取电、还在给录像机回传画面的摄像头，可能同时在喂攻击者。电源预算、端口统计、PoE 计数器里都不会显示它。
四项功能，按你该部署的顺序排列。每一项都独立有用，而第三项依赖第二项。
| 防御 | 做什么 | 依赖什么 | 不覆盖什么 |
|---|---|---|---|
| 每端口静态 IP-MAC 绑定 | 丢弃源 IP 或 MAC 与钉死配对不符的帧 | 你来维护这份清单 | 你忘了钉的主机 |
| DHCP Snooping | 从真实 DHCP 交互建出"IP、MAC、VLAN、端口"可信绑定表 | 所有合法客户端走 DHCP | 静态 IP 主机，需要手工录入 |
| 动态 ARP 检测（DAI） | 拿每条 ARP 应答和 snooping 表比对，丢弃不符项 | 必须先开 DHCP Snooping | 无可信绑定的非可信端口上的 ARP 流量 |
| 端口隔离 | 让被隔离的接入口在二层彼此到不了 | 无，但它改变摄像头到摄像头的行为 | 到网关或录像机的流量，那仍照常流 |
顺序之所以重要，是因为动态 ARP 检测的好不好，取决于它背后的那张表。在开着 DHCP 客户端却没先开 Snooping 的网络上去启用检测，会丢弃合法 ARP、把摄像头搞下线——这是现场这套配置最常见的翻车方式。
三项期望值得在变成采购纠纷之前先纠正。
| 期望 | 交换机给你什么 | 你真正需要什么 |
|---|---|---|
| "交换机会保护网关 IP" | 它保护自身端口上的绑定，而不是保护网关免遭同子网主机冒用 | 在服务器上写静态 ARP，或在拥有网关的那台三层设备上做检测 |
| "它会发现攻击并告警" | 它丢弃坏 ARP 并可以记录丢弃 | 一台盯着这些消息的日志采集器；交换机本身不是监控平台 |
| "它替代防火墙" | 它强制二层邻接策略 | 跨子网的策略需要防火墙或路由器，那是另一类产品 |
这是多数安防部署真正跑的规模，小到能完全手工钉死——而这正是重点。七台固定设备，没有理由让任何一台靠运气。
| 端口 | 设备 | IP 地址 | 绑定方式 | 备注 |
|---|---|---|---|---|
| 1–6 | 固定 IP 摄像头 | 192.168.10.11 – .16 | 静态 IP 加 MAC 钉死，或 DHCP 保留加 Snooping | 一台工业 PoE 交换机上的六台摄像头通常每台取 4–8 W；按 6 台 × 8 W 上限估算，仅摄像头就需 6 × 8 = 48 W 的 PoE 预算——这是供电问题，和绑定是两回事 |
| 7 | 网络录像机（NVR） | 192.168.10.2 | 静态 IP 加 MAC 钉死 | 每台摄像头都要对话的那一个地址；最先钉 |
| 8 | 通往网关的上行 | Trunk | 可信端口 | 绝不要像绑接入口那样绑这个口 |
三条规则让这张表扛得住现实：安装时就抄下摄像头 MAC，而不是事后去发现；把上行放到可信端口，这样 Snooping 不会丢弃真实 DHCP 服务器的应答；每次换摄像头都复查表——换上去的是新 MAC，陈旧的钉死会把它搞下线。
答：不靠谱。免费 ARP 被正当地用于故障切换和宣布一个搬家后的地址，所以一刀切关掉，破坏的比保护的更多。基于绑定的防御才是务实答案，因为它们拒绝的是伪造映射，而不是某类消息。
答：因为攻击者在转发流量。两端都看到会话正常，PoE 供电也不受影响，所以没有供电或链路的异常可察觉。只有交换机的绑定表或抓包才会露出那个重复的 MAC。
答：不能。隔离让接入口彼此到不了，挡住的是摄像头到摄像头的扩散，但到网关和录像机的流量仍必须流。隔离是" containment（ containment）"，不是" immunity（免疫）"。
答：你更需要绑定，检测可以少。静态地址下 Snooping 没什么可学，于是"钉死"成了唯一的强制手段——而一个没登记的 MAC 变更会悄悄让一台摄像头下线。
答：在被它必须信任的主机上，或拥有该地址的那台三层设备上。二层接入交换机挡不住同子网主机冒用网关，因为那个应答根本不必经过交换机控制的检查。
把 ARP 表当资产清单，而不是当缓存：每台固定设备都有钉死的地址，上行是可信端口，检测负责拒绝。锐应的管理型工业交换机产品线开放了本文描述的绑定与隔离能力，而六台摄像头的安防网络小到一下午就能完全钉死。
本文的协议行为与机制陈述来自公开行业来源——RFC 826（以太网地址解析协议，含其缺乏认证与免费 ARP 的使用）、RFC 3046（DHCP 中继代理信息选项，即 Option 82，本特性所采集绑定信息的基石）以及 IEEE 802.1Q（端口隔离与桥转发行为）。方法、算例与行文由 Sara 撰写，发布前她已逐条对照来源核对数据；凡是标注"行业典型"的，都是通用值，除非明确写出，否则没有一条是锐应产品的实测值。
关于作者： Sara —— 锐应科技客户经理，通信领域从业 10 年以上，业余喜欢羽毛球和游泳。
关于锐应： 深圳锐应科技有限公司 —— 公司简介。需要 GPON OLT、XPON ONU 与 工业以太网交换机（PoE 可选）方案，可访问 工业交换机产品线；PON/OLT 方案见 PON 解决方案。
