linuxarp

❶ linux防火墙如何防御ARP攻击

windows下放arp攻击可以用金山ARP防火墙，把网关ip和MAC填上，然后选项里把安全模式的钩勾上就基本没什么问题。Linux没找到这么现成的东西， google上找了一些方法，都自己试过一遍，不是非常管用。

进行arp攻击要做两件事情：
1、欺骗目标机器，攻击机器A告诉目标机器B：我是网关！
2、欺骗网关，攻击机器A告诉网关：我是B！

也就是A进行双向欺骗。
这样做以后目标机器B发给网关的数据包都让攻击机器A给没收了，没有发给网关，所以B就上不了网了。要让B能上网，A需要将从B收到的包转发给网关。(有时候开P2P终结这之类的软件的时候发现别人上不了网了，有时候是因为自己有一个NB的防火墙，有时侯是其他原因，从被控制的机器上发过来的包没有能转发给网关，所以。。。)

我在网上找了一些关于Linux怎么防arp攻击的文章，基本上有这么几种做法。
1、绑定IP-MAC。通过arp -s 或者 arp -f。我就咬定哪个是网关了，你们谁说的话我都不信！
但是有个缺点，必须双向绑定IP-MAC，如果你无法控制路由器，不能在网关那里设置静态IP，这个方法就无效了。
2、既然控制不了网关，我只能告诉网关哪个才是真正的我了。向网关发送自己的IP和MAC。也就是告诉网关：我才是XXX。
（1）用arping，或者arpspoof(arpsniffer)。
命令：arping -U -I 网卡接口 -s 源IP 目标IP
由于命令里面没有指定网关的MAC，所以形同虚设，效果不好。
（2）用arpoison或者ARPSender，可以指定MAC，效果算是比较好，但有时候还是不行。
命令：arpoison -i 网卡接口 -d 网关IP -s 我的IP -t 网关MAC -r 我的MAC
参考了这篇文章： http://hi..com/yk103/blog/item/f39e253f9d6aeeed55e72361.html
我用Wireshark看了一下，发现虽然我指定了目标的MAC，但是我的机器依然会间歇性地往攻击机器发送我的IP和MAC，然后攻击机器利用我的MAC进行双向欺骗。

所以我想，有没有什么办法不让除了网关之外的其他人知道我的MAC呢？后来就找到了一下这篇文章。

文章地址： http://www.kanwi.cn/read-348.html
文章内容：(因为原文地址访问非常慢所以在这里贴出来)
Linux/FreeBSD防止ARP欺骗的一种 被动方法(隐藏MAC)
作者: Knight 日期: 2008-11-17 14:15

文章作者：Helvin
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

首先对国内某些IDC不负责任的行为表示抗议

一般欺骗机器通过ARP Request获得网关的MAC，然后同样方法获得你服务器的MAC进行双向欺骗，然后sniffer密码，挂马之类。
国内几乎所有的IDC都是几百服务器公用一个网关的。然后上百个服务器总有几个有漏洞的，然后你就被ARP欺骗挂马或者抓密码了

下面介绍的是Linux 利用arptables来防止ARP Request获得你的MAC。这样攻击者会认为你的服务器是不存在的（本来很复杂的，需要patch编译内核什么的，上周才发现还有一个 arptables，免编译内核，现在把方法写一下）

Debian/Ubuntu：（runas sudo）CentOS/RHAS 叫arptables_jf
引用:

apt-get install arptables
arptables -A INPUT --src-mac ! 网关MAC -j DROP
arptables -A INPUT -s ! 网关IP -j DROP

如果你有本网的内网机器要互联，可以 引用:

arptables -I INPUT --src-mac 你的其他服务器MAC ACCEPT

如果你的MAC已经被欺骗机器拿到，那只能ifconfig ethx hw ether MAC来修改了

有一定的危险性，请酌情测试，你也可以疯狂刷新网关+本机ARP绑定，看具体需要
还要注意这个时候不要发出ARP Request到除网关以外的其他IP，其后果可能是被其他机器拿到MAC

补充一个FreeBSD下的隐藏MAC的方法
首先sysctl net.link.ether.ipfw=1开启IPFW ether层过滤功能（网桥模式要使用sysctl net.link.ether.bridge_ipfw=1）
然后
ipfw add 00005 allow ip from any to any MAC 网关MAC any /* 打开你到网关的通信 */
ipfw add 00006 allow ip from any to any MAC any 网关MAC /* 打开网关到你的通信 */
/* ........中间你可以添加本网段内需要互联的IP地址MAC双向通信........ */
ipfw add 00010 deny ip from any to any MAC any any /* 关闭所有其他MAC的任何响应 */

如果服务器作为内网网关使用，可以在内网网卡界面
ifconfig em1 -arp /* 关闭ARP响应(假设em0是内网网卡) */
arp -f /etc/arp.list /* 设置静态ARP表 */
以下是ARP(8) 关于arp.list格式的描述，
Cause the file filename to be read and multiple entries to be set
in the ARP tables. Entries in the file should be of the form

hostname ether_addr [temp] [pub]

with argument meanings as given above. Leading whitespace and
empty lines are ignored. A `#' character will mark the rest of
the line as a comment.

我觉得可以把 绑定IP-MAC + arposion + MAC隐藏的方法综合起来
转自 http://hi..com/aj_shuaikun/blog/item/ab39b3d982a59fe038012fd0.html

❷ Linux 配置ip地址时会发送免费arp吗

会的

PC通过DHCP申请地址,在获取到IP地址后,会发送免费ARP。

❸ Linux主机如何防范ARP攻击

arp欺骗的原理不多述，基本就是利用发 送假的arp数据包，冒充网关。一般在网上通讯的时候网关的IP和MAC的绑定是放在arp 缓存里面的，假的arp包就会刷新这个缓存，导致本该发送到网关的数据包发到了欺骗 者那里。解决的办法就是静态arp。
假设网关的IP是192.168.0.1，我们要 先得到网关的正确MAC，先ping一下网关：
ping 192.168.0.1

然后运行arp查看arp缓存中的网关MAC：
localhost~$ arp
Address HWtype HWaddress Flags Mask Interface
192.168.0.1 ether 00:12:34:56:78:9A C eth0
、这里得到的网关MAC假定 为00:12:34:56:78:9A，C代表这个绑定是保存在缓冲里的，我们要做的就是把这个IP和 MAC静态的绑定在一起，首先建立/etc/ethers文件，输入以下内容：
192.168.0.1 00:12:34:56:78:9A

保存退出，之后便是应 用这个静态绑定：
localhost~$ arp -f

再运行arp查看：
localhost~$ arp
Address HWtype HWaddress Flags Mask Interface
192.168.0.1 ether 00:12:34:56:78:9A CM eth0
多了个M，表示静态网关 ～
另外，如果你不会和局域网内的用户通讯的话，那么可以干脆 把arp解析关掉，假定你的网卡是eth0，那么可以运行：
localhost~$ ifconfig eth0 -arp

这样对付那些终结者软件就可以了，但是真的有人 向攻击的话，这样还是不够的，因为攻击者还可以欺骗网关，解决的办法就是在网关和 局域网内机器上做双向绑定，原理方法同上，一般网吧里面也是这样做的。

❹ Linux内核-arp协议

从ip_finish_output2到dev_queue_xmit路径：

http://www.bluestep.cc/linux%e5%91%bd%e4%bb%a4arping-%e7%bd%91%e7%bb%9c%e7%ae%a1%e7%90%86-%e9%80%9a%e8%bf%87%e5%8f%91%e9%80%81arp%e5%8d%8f%e8%ae%ae%e6%8a%a5%e6%96%87%e6%b5%8b%e8%af%95%e7%bd%91%e7%bb%9c/

arp协议：

(1).硬件类型：

硬件地址类型，该字段值一般为ARPHRD_ETHER，表示以太网。

(2).协议类型：

表示三层地址使用的协议，该字段值一般为ETH_P_IP，表示IP协议

(3)硬件地址长度，以太网MAC地址就是6；

(4)协议地址长度，IP地址就是4；

(5)操作码

常见的有四种，arp请求，arp相应，rarp请求，rarp相应。

(6)发送方硬件地址与IP地址，(7)目标硬件地址与目标IP地址。

arp头数据结构：

arp模块的初始化函数为arp_init()，这个函数在ipv4协议栈的初始化函数inet_init()中被调用。
1.初始化arp表arp_tbl;
2.注册arp协议类型；
3.建立arp相关proc文件，/proc/net/arp；
4.注册通知事件

一个neigh_table对应一种邻居协议，IPv4就是arp协议。用来存储于邻居协议相关的参数、功能函数、邻居项散列表等。

一个neighbour对应一个邻居项，就是一个arp条目

邻居项函数指针表，实现三层和二层的dev_queue_xmit()之间的跳转。

用来存储统计信息，一个结构实例对应一个网络设备上的一种邻居协议。

注册arp报文类型 ：dev_add_pack(&arp_packet_type);

就是把arp_packet_type添加到ptype_base哈希表中。

注册新通知事件的时候，在已经注册和UP的设备上，会调用一次这个通知事件。

设备事件类型：

创建一个邻居项，并将其添加到散列表上，返回指向该邻居项的指针。
tbl:待创建的邻居项所属的邻居表，即arp_tbl；
pkey：三层协议地址(IP地址)
dev：输出设备
want_ref：？？

创建邻居项

1.设置邻居项的类型
2.设置邻居项的ops指针
3.设置邻居项的output函数指针

调用dst_link_failure()函数向三层报告错误，当邻居项缓存中还有未发送的报文，而该邻居却无法访问时被调用。不懂。

用来发送arp请求，在邻居项状态定时器处理函数中被调用。

neigh：arp请求的目的邻居项

skb：缓存在该邻居项中的待发送报文，用来获取该skb的源ip地址。

将得到的硬件源、目的地址，IP源、目的地址等作为参数，调用arp_send()函数创建一个arp报文并将其输出。

创建及发送arp报文

创建arp报文，填充字段。

发送arp报文

用来从二层接收并处理一个arp报文。这个函数中就是做了一些参数检查，然后调用arp_process()函数。

neigh_event_ns

neigh_update

这个函数的作用就是更新邻居项硬件地址和状态。分支比较多。

neigh_update_notify

代理arp（proxy arp），通常像路由器这样的设备才使用，用来代替处于另一个网段的主机回答本网段主机的arp请求。

感觉代码ARP好像没啥用呀。

网络主机发包的一般过程：

1.当目的IP和自己在同一网段时，直接arp请求该目的IP的MAC。

2.当目的IP和自己不再同一网段时，arp请求默认网关的MAC。

https://www.cnblogs.com/taitai139/p/12336554.html

https://www.cnblogs.com/Widesky/p/10489514.html

当主机没有默认网关的时候，arp请求别的网段的报文，到达路由器后，本来路由器是要隔离广播的，把这个arp请求报文给丢弃，这样就没法通信了。当路由器开启arp proxy后，路由器发现请求的目的IP在其他网段，就自己给主机回复一个arp响应报文，这样源主机就把路由器的MAC当成目的IP主机对应的MAC，可以通信了。这样可能会造成主机arp表中，多个IP地址都对应于路由器的同一个MAC地址。

可以使用arping命令发送指定IP的arp请求报文。

写完了发现这个老妹写的arp代理文章蛮好的，不过她好像是转载的。

❺ 如何给linux给ARP表添加条目

Liunx添加ARP表方式如下:
[功能]
管理系统的arp缓存。

[描述]
用来管理系统的arp缓存，常用的命令包括：
arp: 显示所有的表项。
arp -d address: 删除一个arp表项。
arp -s address hw_addr: 设置一个arp表项。

常用参数：
-a 使用bsd形式输出。（没有固定的列）
-n 使用数字形式显示ip地址，而不是默认的主机名形式。
-D 不是指定硬件地址而是指定一个网络接口的名称，表项将使用相应接口的MAC地址。一般用来设置ARP代理。
-H type, --hw-type type: 指定检查特定类型的表项，默认type为ether，还有其他类型。
-i If, --device If: 指定设置哪个网络接口上面的arp表项。
-f filename: 作用同'-s',不过它通过文件来指定IP地址和MAC地址的绑定。文件中每行分别是主机和MAC，中间以空格分割。如果没有指定文件名称，则使用/etc/ethers文件。

以下例子中，用主机名称的地方也可以用点分10进制的ip地址来表示。另外输出结果中用"C"表示ARP缓存内容，"M"表示永久性表项，"P"表示公共的表项。

[举例]
*查看arp表：
#arp
Address HWtype HWaddress FlagsMask Iface
hostname1 ether 44:37:e6:97:92:16 C eth0
hostname2 ether 00:0f:fe:43:28:c5 C eth0
hostname3 ether 00:1d:92:e3:d5:ee C eth0
hostname4 ether 00:1d:0f:11:f2:a5 C eth0
这里，Flags中的"C"代表此表项目是高速缓存中的内容，高速缓存中的内容过一段时间（一般20分钟）会清空，而"M"则表示静态表项，静态表项的内容不会过一段时间被清空。

*查看arp表，并且用ip显示而不是主机名称：
# arp -n
Address HWtype HWaddress FlagsMask Iface
10.1.10.254 ether 00:1d:92:e3:d5:ee C eth0
10.1.10.253 ether 44:37:e6:9b:2c:53 C eth0
10.1.10.178 ether 00:1b:78:83:d9:85 C eth0
10.1.10.119 ether 00:1d:0f:11:f2:a5 C eth0
这里，对于上面的条目，假设当我们"ping 10.1.10.1"通过之后，arp中会多一条"10.1.10.1"相关的信息。

*查看arp表，显示主机名称和ip：
#arp -a
ns.amazon.esdl.others.com (10.1.10.254) at00:1d:92:e3:d5:ee [ether] on eth0
server.amazon.eadl.others.com (10.1.10.253) at44:37:e6:9b:2c:53 [ether] on eth0
D2-jh.amazon.esdl.others.com (10.1.10.178) at00:1b:78:83:d9:85 [ether] on eth0
aplab.local (10.1.10.119) at 00:1d:0f:11:f2:a5[ether] on eth0

*添加一对IP和MAC地址的绑定：
# arp -s 10.1.1.1 00:11:22:33:44:55:66
这里，如果网络无法达到，那么会报告错误，具体如下：
root@quietheart:/home/lv-k# arp -s 10.1.1.100:11:22:33:44:55:66
SIOCSARP: Network is unreachable
root@quietheart:/home/lv-k# arp -n
Address HWtype HWaddress FlagsMask Iface
10.1.10.254 ether 00:1d:92:e3:d5:ee C eth0
10.1.10.253 ether 44:37:e6:9b:2c:53 C eth0
10.1.10.178 ether 00:1b:78:83:d9:85 C eth0
10.1.10.119 ether 00:1d:0f:11:f2:a5 C eth0
实际上，如果"arp -s"设置成功之后，会增加一个Flags为"CM"的表项，有些系统静态条目不会因为ARP响应而更新，而高速缓存中的条目会因此而更新。如果想要手工设置没有"M"，那么用"temp"选项，例如："arp -s IP MAC temp"类似的命令，实践发现，如果已经设置过IP了，那么再设置也不会改变其Flags。

*删除一个arp表项：
# arp -d 10.1.10.118
这里，删除之后只是硬件地址没有了，如下：
root@quietheart:~# arp -n
Address HWtype HWaddress FlagsMask Iface
10.1.10.118 ether 00:25:9c:c2:79:90 CM eth0
10.1.10.254 ether 00:1d:92:e3:d5:ee C eth0
root@quietheart:~# arp -d 10.1.10.118
root@quietheart:~# arp -n
Address HWtype HWaddress FlagsMask Iface
10.1.10.118 (incomplete) eth0
10.1.10.254 ether 00:1d:92:e3:d5:ee C

*删除eth0上面的一个arp表项：
# arp -i eth0 -d 10.1.10.118

[其它]
*指定回复的MAC地址：
#/usr/sbin/arp -i eth0 -Ds 10.0.0.2 eth1 pub
当eth0收到IP地址为10.0.0.2的请求时，将会用eth1的MAC地址回答。
例如，双网卡机器运行这条命令：
/usr/sbin/arp -i eth0 -Ds 10.0.0.2 eth1 pub
会多一项：
10.0.0.2 * MP eth0

❻ 如何在我的linux查看我的arp表格

在linux中查看arp地址解析协议需要使用终端命令。

以Deepin linux为例，使用终端命令查看arp步骤如下所示：

1、在程序列表中点击打开终端命令程序。

❼ Linux内核参数之arp_ignore和arp_announce

arp_ignore和arp_announce参数都和ARP协议相关，主要用于控制系统返回arp响应和发送arp请求时的动作。这两个参数很重要，特别是在LVS的DR场景下，它们的配置直接影响到DR转发是否正常。

首先看一下Linux内核文档中对于它们的描述：

arp_ignore - INTEGER

Define different modes for sending replies in response to

received ARP requests that resolve local target IP addresses:

0 - (default): reply for any local target IP address, configured

on any interface

1 - reply only if the target IP address is local address

configured on the incoming interface

2 - reply only if the target IP address is local address

configured on the incoming interface and both with the

sender's IP address are part from same subnet on this interface

3 - do not reply for local addresses configured with scope host,

only resolutions for global and link addresses are replied

4-7 - reserved

8 - do not reply for all local addresses

The max value from conf/{all,interface}/arp_ignore is used

when ARP request is received on the {interface}

arp_ignore参数的作用是控制系统在收到外部的arp请求时，是否要返回arp响应。

arp_ignore参数常用的取值主要有0，1，2，3~8较少用到：

0：响应任意网卡上接收到的对本机IP地址的arp请求（包括环回网卡上的地址），而不管该目的IP是否在接收网卡上。

1：只响应目的IP地址为接收网卡上的本地地址的arp请求。

2：只响应目的IP地址为接收网卡上的本地地址的arp请求，并且arp请求的源IP必须和接收网卡同网段。

3：如果ARP请求数据包所请求的IP地址对应的本地地址其作用域（scope）为主机（host），则不回应ARP响应数据包，如果作用域为全局（global）或链路（link），则回应ARP响应数据包。

4~7：保留未使用

8：不回应所有的arp请求

sysctl.conf中包含all和eth/lo（具体网卡）的arp_ignore参数，取其中较大的值生效。

arp_announce - INTEGER

Define different restriction levels for announcing the local

source IP address from IP packets in ARP requests sent on

interface:

0 - (default) Use any local address, configured on any interface

1 - Try to avoid local addresses that are not in the target's

subnet for this interface. This mode is useful when target

hosts reachable via this interface require the source IP

address in ARP requests to be part of their logical network

configured on the receiving interface. When we generate the

request we will check all our subnets that include the

target IP and will preserve the source address if it is from

such subnet. If there is no such subnet we select source

address according to the rules for level 2.

2 - Always use the best local address for this target.

In this mode we ignore the source address in the IP packet

and try to select local address that we prefer for talks with

the target host. Such local address is selected by looking

for primary IP addresses on all our subnets on the outgoing

interface that include the target IP address. If no suitable

local address is found we select the first local address

we have on the outgoing interface or on all other interfaces,

with the hope we will receive reply for our request and

even sometimes no matter the source IP address we announce.

The max value from conf/{all,interface}/arp_announce is used.

arp_announce的作用是控制系统在对外发送arp请求时，如何选择arp请求数据包的源IP地址。（比如系统准备通过网卡发送一个数据包a，这时数据包a的源IP和目的IP一般都是知道的，而根据目的IP查询路由表，发送网卡也是确定的，故源MAC地址也是知道的，这时就差确定目的MAC地址了。而想要获取目的IP对应的目的MAC地址，就需要发送arp请求。arp请求的目的IP自然就是想要获取其MAC地址的IP，而arp请求的源IP是什么呢？ 可能第一反应会以为肯定是数据包a的源IP地址，但是这个也不是一定的，arp请求的源IP是可以选择的，控制这个地址如何选择就是arp_announce的作用）

arp_announce参数常用的取值有0，1，2。

0：允许使用任意网卡上的IP地址作为arp请求的源IP，通常就是使用数据包a的源IP。

1：尽量避免使用不属于该发送网卡子网的本地地址作为发送arp请求的源IP地址。

2：忽略IP数据包的源IP地址，选择该发送网卡上最合适的本地地址作为arp请求的源IP地址。

sysctl.conf中包含all和eth/lo（具体网卡）的arp_ignore参数，取其中较大的值生效。

（1）当arp_ignore参数配置为0时，eth1网卡上收到目的IP为环回网卡IP的arp请求，但是eth1也会返回arp响应，把自己的mac地址告诉对端。

（2）当arp_ignore参数配置为1时，eth1网卡上收到目的IP为环回网卡IP的arp请求，发现请求的IP不是自己网卡上的IP，不会回arp响应。

（3）当arp_announce参数配置为0时，系统要发送的IP包源地址为eth1的地址，IP包目的地址根据路由表查询判断需要从eth2网卡发出，这时会先从eth2网卡发起一个arp请求，用于获取目的IP地址的MAC地址。该arp请求的源MAC自然是eth2网卡的MAC地址，但是源IP地址会选择eth1网卡的地址。

（4）当arp_announce参数配置为2时，eth2网卡发起arp请求时，源IP地址会选择eth2网卡自身的IP地址。

因为DR模式下，每个真实服务器节点都要在环回网卡上绑定虚拟服务IP。这时候，如果客户端对于虚拟服务IP的arp请求广播到了各个真实服务器节点，如果arp_ignore参数配置为0，则各个真实服务器节点都会响应该arp请求，此时客户端就无法正确获取LVS节点上正确的虚拟服务IP所在网卡的MAC地址。假如某个真实服务器节点A的网卡eth1响应了该arp请求，客户端把A节点的eth1网卡的MAC地址误认为是LVS节点的虚拟服务IP所在网卡的MAC，从而将业务请求消息直接发到了A节点的eth1网卡。这时候虽然因为A节点在环回网卡上也绑定了虚拟服务IP，所以A节点也能正常处理请求，业务暂时不会受到影响。但时此时由于客户端请求没有发到LVS的虚拟服务IP上，所以LVS的负载均衡能力没有生效。造成的后果就是，A节点一直在单节点运行，业务量过大时可能会出现性能瓶颈。

所以DR模式下要求arp_ignore参数要求配置为1。

每个机器或者交换机中都有一张arp表，该表用于存储对端通信节点IP地址和MAC地址的对应关系。当收到一个未知IP地址的arp请求，就会再本机的arp表中新增对端的IP和MAC记录；当收到一个已知IP地址（arp表中已有记录的地址）的arp请求，则会根据arp请求中的源MAC刷新自己的arp表。

如果arp_announce参数配置为0，则网卡在发送arp请求时，可能选择的源IP地址并不是该网卡自身的IP地址，这时候收到该arp请求的其他节点或者交换机上的arp表中记录的该网卡IP和MAC的对应关系就不正确，可能会引发一些未知的网络问题，存在安全隐患。

所以DR模式下要求arp_announce参数要求配置为2。

arp_ignore和arp_announce参数分别有all,default,lo,eth1,eth2...等对应不同网卡的具体参数。当all和具体网卡的参数值不一致时，取较大值生效。

一般只需修改all和某个具体网卡的参数即可（取决于你需要修改哪个网卡）。下面以修改lo网卡为例：

net.ipv4.conf.all.arp_ignore=1

net.ipv4.conf.lo.arp_ignore=1

net.ipv4.conf.all.arp_announce=2

net.ipv4.conf.lo.arp_announce=2

sysctl -w net.ipv4.conf.all.arp_ignore=1

sysctl -w net.ipv4.conf.lo.arp_ignore=1

sysctl -w net.ipv4.conf.all.arp_announce=2

sysctl -w net.ipv4.conf.lo.arp_announce=2

echo "1">/proc/sys/net/ipv4/conf/all/arp_ignore

echo "1">/proc/sys/net/ipv4/conf/lo/arp_ignore

echo "2">/proc/sys/net/ipv4/conf/all/arp_announce

echo "2">/proc/sys/net/ipv4/conf/lo/arp_announce

❽ linux系统arp问题

这个简单， 通过tcpmp抓包获取攻击的IP地址， 然后使用防火墙锁定就行了， 不过这是一个编程的过程， 稍微复杂哦
低于这种攻击， 还是有效的
请楼主看一下my网名吧？这个问题可以帮助搞定一下的哦

❾ linux下防arp

方法一：
首先安装arptables:
sudo apt-get install arptables
然后定义规则：
sudo arptables -A INPUT --src-mac ! 网关物理地址 -j DROP
sudo arptables -A INPUT -s ! 网关IP -j DROP
sudo arptables -A OUTPUT --destination-mac ff:ff:ff:ff:ff:ff -j ACCEPT
不过这样就有一点不好，局域网内的资源不能用！
sudo arptables -F
当然我们可以做个脚本，每次开机的时候自动运行！~sudo gedit /etc/init.d/arptables，内容如下：
#! /bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
arptables -A INPUT --src-mac ! 网关物理地址 -j DROP
arptables -A INPUT -s ! 网关IP -j DROP
arptables -A OUTPUT --destination-mac ff:ff:ff:ff:ff:ff -j ACCEPT
然后给arptables加个execution的属性，
sudo chmod 755 /etc/init.d/arptables
再把arptables设置自动运行，
sudo update-rc.d arptables start 99 S .
用sysv-rc-conf直接设置

方法二：
1、先使用arp和 arp -a查看一下当前ARP缓存列表
[root@ftpsvr ~]# arp
Address HWtype HWaddress Flags Mask Iface
192.168.1.234 ether 00:04:61:AE:11:2B C eth0
192.168.1.145 ether 00:13:20:E9:11:04 C eth0
192.168.1.1 ether 00:02:B3:38:08:62 C eth0
说明：
Address：主机的IP地址
Hwtype：主机的硬件类型
Hwaddress：主机的硬件地址
Flags Mask：记录标志，”C”表示arp高速缓存中的条目，”M”表示静态的arp条目。
[root@ftpsvr ~]# arp -a
? (192.168.1.234) at 00:04:61:AE:11:2B [ether] on eth0
? (192.168.1.1) at 00:16:76:22:23:86 [ether] on eth0
2、新建一个静态的mac–>ip对应表文件：ip-mac，将要绑定的IP和MAC 地下写入此文件，格式为 ip mac。
[root@ftpsvr ~]# echo ‘192.168.1.1 00:02:B3:38:08:62 ‘ > /etc/ip-mac
[root@ftpsvr ~]# more /etc/ip-mac
192.168.1.1 00:02:B3:38:08:62
3、设置开机自动绑定
[root@ftpsvr ~]# echo ‘arp -f /etc/ip-mac ‘ >> /etc/rc.d/rc.local
4、手动执行一下绑定
[root@ftpsvr ~]# arp -f /etc/ip-mac
5、确认绑定是否成功
[root@ftpsvr ~]# arp
Address HWtype HWaddress Flags Mask Iface
192.168.0.205 ether 00:02:B3:A7:85:48 C eth0
192.168.1.234 ether 00:04:61:AE:11:2B C eth0
192.168.1.1 ether 00:02:B3:38:08:62 CM eth0
[root@ftpsvr ~]# arp -a
? (192.168.0.205) at 00:02:B3:A7:85:48 [ether] on eth0
? (192.168.1.234) at 00:04:61:AE:11:2B [ether] on eth0
? (192.168.1.1) at 00:02:B3:38:08:62 [ether] PERM on eth0
从绑定前后的ARP缓存列表中，可以看到网关（192.168.1.1）的记录标志已经改变，说明绑定成功。