说明：
现在网络上ARP类病毒及其变种越来越多，导致网络时断时续，严重影响到公司关健业务如ARP/CRM/OA/APS等应用系统的运行。同时很多用户投诉我们网络部，而我们有苦难言。在采取了一定的技术手段后，目前一切运行正常。即使有ARP病毒发作，影响面很少。针对ARP类病毒，我个人观点如下：
一、 检查ARP病毒
检查网络中是否有ARP类病毒，有如下方法：
1、 在PC电脑上，输入arp –a 如果看到的网关的MAC和实际不一样，则可以是感染了ARP类病毒
2、 在中心交换机上，输入：sh arp 看到很多IP地址对应的MAC一样，则说明那个MAC的电脑感染了病毒 （远程×××用户的IP地址除外，因为×××用户拨入成功并获取IP地址后，IP对应的是×××服务器上的MAC地址）
3、 也可以在路由器或交换机上使用debug arp查看或sh logging显示有IP地址冲突信息
4、 如果网关为linux，可以使用命令：tcpdump -nn –i eth0 arp检测，如果出现如下信息，则说明192.168.0.2感染了arp病毒。
15:01:53.597121 arp who-has 192.168.0.1 tell 192.168.0.2
15:01:53.597125 arp who-has 192.168.0.1 tell 192.168.0.2
15:01:53.617436 arp who-has 192.168.0.2 tell 192.168.0.2
15:01:53.617440 arp who-has 192.168.0.2 tell 192.168.0.2
15:01:53.637942 arp who-has 192.168.0.3 tell 192.168.0.2
15:01:53.637946 arp who-has 192.168.0.3 tell 192.168.0.2
15:01:53.658452 arp who-has 192.168.0.4 tell 192.168.0.2
15:01:53.658456 arp who-has 192.168.0.4 tell 192.168.0.2
15:01:53.678963 arp who-has 192.168.0.5 tell 192.168.0.2
15:01:53.678967 arp who-has 192.168.0.5 tell 192.168.0.2
15:01:53.699464 arp who-has 192.168.0.6 tell 192.168.0.2
…………………
5、 使用sniffer，并在交换机上配置SPAN口抓包分析。具体操作可以参考我的其它文章
6、 安装Anti ARP sniffer等之类的软件也可以检测，也可以使用NBTSCAN检测。
7、 如果网络一会断开，一会又好了，很可能是arp病毒在作怪（当然也可能是其它网络故障，如STP问题，特此声明喜欢钻牛角尖的人找我面谈，我给他吃一块钻头）
8、 其它
二、 防范ARP病毒
可采取如下措施：
1、 如果条件允许，可以在交换机上配置port-security特性，即某个端口仅允许某个或某些MAC进出，这样即使中了ARP病毒，也不会影响网络，命令如下：
interface FastEthernet0/1
port security max-mac-count 1
mac-address-table secure 0000.0000.0010 FastEthernet0/1 vlan 1
。。。。。。。。。
（因大部分公司网络不可能都是中高端交换机，不具有此项管理功能。因此无法配置端口安全）
2、 在交换机或网关路由器上进行IP地址与MAC地址的绑定，命令如下：
arp 192.168.1.x 000d.bcb9.d480 arpa
……………
3、 通过组策略使用计算机启动时自动进行静态ARP绑定，如建立一下antiarp.bat，内容如下：
@echo off
arp -d
arp -s 192.168.1.254 00-03-47-e0-8e-1e 此为网关
arp -s 192.168.1.253 00-18-19-00-40-00 此为×××线路网关
arp -s 192.168.1.1 00-0d-bc-b9-d4-80 此为ERP服务器
…………………
@echo on
注：一般仅绑定网关即可
4、 也可以在电脑上安装防arp病毒之类的软件，如Anti ARP Sniffer等。
5、 如果小公司的网关路由器具有防arp欺骗功能，则可以开启此功能，有一定的效果
6、 防病毒软件虽然基本上每台电脑都会安装的，但对它不要抱太大希望，根据本人的经验，一般防病毒软件不能防止ARP类病毒
7、 管理员定期检查网络。（可以编写一个脚本，定期检查网络，发现断开就立即进行邮件提醒）
8、 使用防火墙监控网络或网络管理软件进行监控。
9、 其它
注：以上方法都用，乃ARP病毒终极解决方法。
