简介HCIA-Security网络安全学习笔记是一份面向华为安全认证考生和网络入门者的知识梳理文档内容围绕USG模拟器使用、协议原理与常见攻击防御展开。资源以单个PDF形式打包体积约19.3MB既包含USG环境准备、默认地址与密码、清空配置命令等实验前提也梳理了OSI七层模型、TCP/IP协议栈、IPv4报文各关键字段及二层/三层/四层协议封装关系适合边看边搭环境练习。已有568人学习下载。笔记还记录了Nmap、Zenmap、ScanPort、X-Scan等工具的使用场景以及Kali下arpspoof断网实验的完整命令针对ARP协议从请求/响应报文、arp -a、arp -d、arp -s等操作入手逐步说明ARP欺骗原理并给出DHCP Snooping、DAI、ARP限速等防御手段。整体偏实战既适合备考HCIA-Security时快速回顾也适合希望系统理解网络攻防基础的安全初学者参考。1. 这份HCIA-Security笔记从模拟器命令到攻防实验的完整闭环如果你正打算考 HCIA-Security 或刚接手企业内网的安全运维最头疼的往往不是理论背不下来而是打开防火墙模拟器不知道先敲什么。我拆的这份 HCIA-Security 网络安全学习笔记正好走了一条很务实的路径从 USG 模拟器的初始登录、改密码、清配置开始一路做到 Kali 踩点扫描、ARP 断网攻击、DHCP 耗尽再回到交换机上的 Snooping 与 DAI 防御。它把考纲里的零散知识点压成了一条能直接动手复现的实验链而不是又一份只讲概念不敲命令的 PPT。适合四类人备考 HCIA-Security 的、刚接触企业防火墙运维的、想搞懂内网攻击原理的以及被困在会答题不会排障状态里的自学者。2. USG模拟器从零到能跑实验初始登录、改密与清配置学安全最关键的一点是先把实验环境做成干净状态。很多人学着学着就翻车不是因为命令不熟而是模拟器里残留了上一次实验的路由、DHCP、防火墙策略新实验一跑起来全是玄学问题。这一章先把 USG 模拟器从开箱到能稳定跑实验的完整流程过一遍。2.1 初始登录与强制改密192.168.0.1、admin 与默认密码模拟器装好后USG 默认管理地址是 192.168.0.1浏览器直接访问即可。初始账号密码是 admin / Admin123这一步本身没有难度真正的坑在于很多人直接用默认密码继续做实验做完一个实验再登录时发现密码忘了或配置串了。登录后第一件事永远是改密码。笔记里记录的修改结果是 abc-1234有处笔误写成 abc-12345这个密码强度虽然一般但实验环境里统一用同一个密码便于多人协作和后续排错。在真实设备场景下默认密码 Admin123 是扫描器重点关注的对象接入公网的设备只要不改基本等于裸奔。# USG 模拟器管理面默认信息 管理地址192.168.0.1 默认账号admin 默认密码Admin123 # 登录后第一项操作修改默认密码 # 实验环境统一改为abc-1234这段信息看起来简单但值得说明两点。第一管理地址固定为 192.168.0.1意味着你的电脑网卡需要配置一个同网段的 IP 才能访问比如 192.168.0.10/24如果你电脑本身开着别的虚拟网卡访问不通时先检查路由优先级这是最常见的连不上模拟器的原因。第二改密码后务必记录到笔记里模拟器不像真实设备有密码恢复流程忘了密码往往只能重置整个环境前面的实验全白做。2.2 清空配置与目录整理reset saved-configuration 的正确用法做新实验之前最忌讳的就是在旧配置上叠新配置。比如上一个实验在接口下开了 DHCP新实验起 ARP 欺骗时总是收到莫名其妙的 DHCP 应答你排查半天发现是旧配置没清干净。USG 清空配置的标准动作是两条命令reset saved-configuration清掉保存的配置然后重启设备。这里有个很关键的细节这条命令只清 saved-configuration也就是下次启动时加载的配置内存里正在运行的配置并不会被清掉。所以光敲 reset 不重启敲完display current-configuration一看配置还在很多人就在这里卡住。# 进入用户视图 提示符执行清空配置 USG reset saved-configuration Warning: The action will delete the saved configuration... USG reboot # 重启后设备回到出厂空配置状态执行完后还要做一次目录整理。模拟器的工作目录下会积累以前实验生成的配置文件、日志、抓包文件。笔记里专门强调了这一点除拓扑文件以外的东西全部删掉。我一般会把整个工作目录里非当前实验的文件移到备份文件夹只留当前拓扑文件和一个干净的 cfg 目录。这一步不是洁癖而是避免下一次打开工程时模拟器自动加载了旧的配置文件导致新实验的接口 VLAN 配置全乱掉。2.3 双桥接与 CE6800实验拓扑怎么摆实验拓扑里出现双桥接和 CE6800 交换机很多初学者会问为什么要加一台交换机Kali 和 Win7 直接分别接到 USG 的两个接口不行吗先看一下典型的拓扑结构攻击机 Kali --- --- CE6800 交换机 --- USG 防火墙 --- 外网 受害者 Win7 ---这里的核心逻辑是防火墙默认是拒绝流量的两台 PC 直接挂不同接口默认策略下互相访问是被拦的做 ARP 实验时根本看不到效果。中间加一台 CE6800 交换机做二层透传模拟真实的内网接入场景Kali 和 Win7 在同一广播域里ARP 请求能正常泛洪防火墙只作为网关角色存在。同时这种结构也贴近企业接入层——终端先接交换机交换机再上联防火墙。CE6800 在这个实验里的配置负担很小主要工作是创建业务 VLAN把连接 Kali、Win7 的接口设为 Access 口上联防火墙的接口也划进同一个 VLAN。如果模拟器版本支持直接全部接口走默认 VLAN 1 也能跑通但既然笔记里给了 CE6800我建议还是把 VLAN 配一遍因为后面的 DHCP Snooping 配置是在交换机上做的一开始就理清接口与 VLAN 的归属后面做信任端口配置时不会搞混方向。3. 从OSI到TCP/IP把报文头字段读成排障线索这一章表面上是理论实际是在给攻击与防御打底。你会发现后面所有攻击手段都对应着某一层的协议缺陷ARP 欺骗在二层ICMP 在层三DHCP 耗尽涉及四层以上行为。看不懂报文头字段抓包就是看天书。3.1 为什么 OSI 七层被 TCP/IP 取代笔记原话是OSI 目前已经被淘汰TCP/IP 已经取代 OSI 模型。这句话我认同大半。OSI 七层模型从教学上很有价值但实际网络排障中你抓包看到的封装是 TCP/IP 四层结构报文里根本没有会话层表示层的字段。强行用七层去套抓包结果反而把简单问题复杂化。OSI 模型真正的价值在于分层思想每一层只给相邻上层提供服务上层不需要关心下层怎么实现。数据链路层为网络层服务网络层为传输层服务传输层为应用层服务。所以二层设备看 MAC 和 Type 字段三层设备看 IP 和 Protocol 字段四层过滤看端口号。这个谁为谁服务的链条就是排障时逐层定位问题的基础。TCP/IP 模型直接以实现为锚点把 OSI 的上三层压缩成一层应用层把链路层和物理层的分工问题留给具体技术去解决。实际排障时就问三句话通不通三层、通得顺不顺四层、连的是不是对的服务应用层。3.2 IPv4 报文头从 Version 到 Padding 的关键字段笔记里把 IPv4 报文头每个字段都过了一遍这里挑几个排障中最常用的展开说。Version 字段固定为 4IHL 表示 IPv4 包头长度它是可变的因为 Options 字段可选。抓包时如果看到 IHL 大于 5说明这个报文带了扩展选项某些防火墙策略会直接丢弃这类报文来防探测。TOS 字段现在被拆成 DSCP差分服务代码点它和 QoS 直接相关。企业网络里给语音、视频流量打 DSCP 标记路由器看到标记就知道优先转发哪类流量。所以抓包时如果发现音频抖动先看 DSCP 标记是不是被中间设备重写了——这是很多人忽略的性能排查点。Total Length 是总长度减去 IHL 就是高层数据长度。Identification、Flags、Fragment Offset 这三个字段负责分片和重组。Identification 标记同一组报文分片属于同一个数据包Flags 里的 MF 位告诉路由器后面还有没有分片Fragment Offset 决定重组顺序。大包经过 MTU 较小的链路时分片重组失败往往表现为网页时好时坏抓包看到大量分片报文且超时未重组就要检查路径 MTU 问题。TTL 字段的说明最有意思。笔记里写现在用来记录传输的跳数防止三层路由环路准确说 TTL 是每经过一个三层设备减 1减到 0 就丢弃。这个字段是 traceroute 的基础也是判断网络路径是否绕路的重要依据——同一个目的地址TTL 剩 50 和剩 20说明走的路径完全不同。Protocol 字段标识上层协议6 是 TCP17 是 UDP1 是 ICMP。排障时这个字段极其关键ping 不通就抓包看有没有 ICMP 回包web 打不开就确认 TCP 握手是否成功。Header Checksum 只校验 IPv4 报文头不校验数据部分所以它防的是报头传输损坏防不了数据被篡改。最后是 Options 和 Padding。Options 用于实现松散源路由等高级功能Padding 是在 Options 不足 32 bit 时填充 0 对齐。现在互联网环境下源路由选项基本被禁用很多路由器直接丢弃带 Options 的报文所以这个字段在排障中不太常用但攻击者可能用它做隐蔽信道探测抓包看到大量 Options 字段报文要警惕。# Wireshark 过滤示例只看 TCP 报文里 IPv4 头字段 ip.version 4 ip.proto 6 # 过滤分片报文关注 MTU 问题 ip.frag_offset 0 || ip.flags.mf 1 # 过滤 TTL 小于 10 的报文粗查是否绕路 ip.ttl 103.3 层间关系速查二层 Type、三层 Protocol 与四层端口各层协议之间的关系本质是封装与服务的对应关系。二层用 Type 字段告诉交换机我肚子里装的是谁0x0800 表示 IP0x0806 表示 ARP。三层用 Protocol 字段告诉对端我肚子里是 TCP 还是 UDP6 是 TCP17 是 UDP1 是 ICMP。四层用端口号区分应用80 是 HTTP21 是 FTP23 是 Telnet443 是 HTTPS。协议层次标识字段取值对应协议典型排障场景二层Type0x0800IP交换机泛洪异常查二层类型二层Type0x0806ARPARP 泛洪导致网络卡顿三层Protocol6TCPTCP 握手失败查三次挥手三层Protocol17UDPDNS 超时看 UDP 53 是否丢包三层Protocol1ICMPping 无回应查 ICMP 类型四层端口80 / 443HTTP / HTTPS代理策略拦截 Web 访问四层端口21 / 23FTP / Telnet被动模式数据连接异常这张表建议直接贴在工位前面。每次排障抓包时先问自己三个问题这个报文在二层是什么 Type在三层是什么 Protocol在四层是什么端口能回答清楚这一串基本就能定位是链路层、网络层还是传输层的问题。理解层间关系还有一个直接收益攻击也是分层的。ARP 欺骗发生在二层ICMP 洪水发生在三层SYN Flood 发生在四层HTTP CC 攻击发生在七层。防御手段也按层对应交换机上开 DHCP Snooping 防二层欺骗路由器上配 ACL 限速防三层四层攻击防火墙上做应用识别防七层攻击。没有哪一套策略能覆盖所有层次这也是为什么只靠一台防火墙防不了内网横向攻击。4. 攻击实验复现Nmap扫描、ARP欺骗与DHCP耗尽理论看完直接进攻击实验。这一章的实验都在虚拟机隔离网络里做目标设备是实验环境里的 Win7 和路由器所有操作在授权范围内。做攻击实验的核心目的不是学会攻击而是亲眼看到攻击生效的报文特征后面配置防御时才知道自己防的是什么。4.1 Nmap 踩点与 Zenmap-sP 参数与扫描耗时踩点是攻击链的第一步。在实验环境里Kali 拿到内网 IP 后第一件事是发现哪些主机存活。nmap 的-sP参数就是干这个的它不做端口扫描只通过 ICMP Echo 请求和 TCP 80/443 探测判断主机是否在线。笔记里给的命令是扫描 192.168.6.1 到 192.168.6.120 这个网段3 到 5 秒就能完成。# 快速发现存活主机-sP 只做 Ping 扫描不碰端口 nmap -sP 192.168.6.1-120 # 查看 nmap 完整使用手册 man nmap # 图形界面版适合不习惯命令行的操作者 zenmap # 选择 Intense scan profile20 个地址约需 5 分钟Zenmap 是 nmap 的图形界面版本由 nmap 官方提供用 Python 编写Windows、Linux、macOS 都能跑。它存在的意义是让不熟悉命令行的读者也能用上 nmap 的全部功能。Intense scan 是内置的扫描模板包含端口扫描、版本探测、系统指纹识别和默认脚本信息全但速度慢通常在确认存活主机之后才使用。这里有个节奏建议先用-sP快速圈定存活主机列表再对目标主机用-sV探测服务版本最后用-O做系统指纹。一上来就跑 intense scan 纯属浪费时间——大量不存活地址的扫描结果都是噪音反而干扰判断。4.2 ARP 协议原理广播请求、单播响应与静态绑定ARPAddress Resolution Protocol解决的是我知道目的 IP但不知道目的 MAC的问题。PC1 要访问 PC2先在自己的 ARP 缓存里查查不到就发一个广播请求目标 MAC 写成全 F问谁是 192.168.6.20请把你的 MAC 告诉我。PC2 收到后回一个单播响应。交换机看到目标 MAC 是全 F 的帧会泛洪到所有接口——这就是 ARP 请求的基本行为。在 Windows 上操作 ARP 缓存是理解这个协议最直接的方式# 查看 ARP 缓存表带 dynamic 标识的是动态学习到的 arp -a # 清空 ARP 缓存表管理员权限执行 arp -d * # 静态绑定把 IP 固定到指定 MAC防欺骗 arp -s 192.168.6.20 1c-87-2c-61-ff-25arp -a看到带 dynamic 的条目就是动态缓存它会被新的 ARP 响应报文覆盖。arp -d *清空后可重新学习。静态绑定的效果是让系统不再接受该 IP 的 ARP 更新但这个做法在终端侧做一两次验证可以规模化管理不现实——几百台电脑逐台绑 MAC 本身就是运维噩梦。笔记里对 ARP 协议有一段非常到位的总结ARP 协议太傻谁给的响应它都相信。这句概括了整个 ARP 欺骗的根源无状态、无认证、无条件信任所有响应。4.3 arpspoof 断网攻击两条命令与 IP 转发断网攻击的原理就是利用 ARP 的傻用虚假的 ARP 响应报文毒化受害者或网关的 ARP 缓存表。攻击机 Kali 同时给受害者和网关发欺骗报文受害者发我是网关我的 MAC 是 xx网关那边发我是受害者我的 MAC 是 xx。两头哄骗的结果是受害者和网关之间的流量全被引导到攻击机中转。人在中间就能干三件事抓包看隐私、给链路加延迟限速、篡改报文内容。# 开启 IP 转发被欺骗后流量能经过攻击机继续转发 echo 1 /proc/sys/net/ipv4/ip_forward # 新开终端 1欺骗网关让网关认为攻击机就是受害者 arpspoof -i eth0 -t 192.168.6.1 192.168.6.116 # 新开终端 2欺骗受害者让受害者认为攻击机就是网关 arpspoof -i eth0 -t 192.168.6.116 192.168.6.1参数说明-i指定网卡实验环境里 Kali 的网卡通常是 eth0-t后面先跟目标 IP再跟要冒充的 IP。第一条命令让网关把发给 192.168.6.116 的报文交给攻击机第二条命令让 192.168.6.116 把网关方向的报文交给攻击机。两条配合才能形成完整转发链。为什么要开 IP 转发因为攻击机收到受害者发给网关的报文后如果没有开启转发功能报文会直接丢弃受害者表现为彻底断网。开启转发后流量能继续走受害者不会感觉到异常攻击者则能长期静默观察流量。这是攻击隐蔽性和可用性的关键也是防御方判断是否被中间人攻击的重要依据。如果实验里发现目标立刻断网第一反应就是忘了写这条echo。操作时用Ctrl Shift T在 Kali 里新开终端两条 arpspoof 各占一个终端持续运行。攻击生效后在受害者 Win7 上执行arp -a查看网关条目MAC 地址已经变成攻击机的 MAC这就是欺骗成功的铁证。4.4 DHCP 耗尽与 Yersinia DoSDHCP 耗尽攻击的思路和 ARP 欺骗完全不同。ARP 欺骗是利用协议无认证的缺陷DHCP 耗尽则是利用协议机制本身——DHCP 服务器根据 MAC 地址区分客户端攻击机不断伪造不同的 MAC 地址发 DHCP Discover 请求服务器就会不断分配 IP直到地址池耗尽。笔记里构造的实验环境是Win7 虚拟机里运行 eNSP 模拟器用路由器搭建 DHCP 服务Kali 通过云彩桥接到交换机上进行攻击。这个拓扑的好处是完全隔离不会影响真实网络。DHCP 服务的基本配置先搭好# 路由器上配置 DHCP 地址池 ip pool aa gateway-list 192.168.6.254 network 192.168.6.0 mask 255.255.255.0 dns-list 114.114.114.114 8.8.8.8 # 接口下启用 DHCP interface GigabitEthernet0/0/0 ip address 192.168.6.254 255.255.255.255 dhcp select global # 查看地址池分配记录 display ip pool name aa usedKali 发动耗尽攻击的命令是pig.py eth0它会自动伪造大量 MAC 地址不断发送 DHCP Discover。观察地址池的分配记录会发现大量假的 MAC 占用 IP地址池逐渐耗尽。此后正常用户再来请求 IP服务器无法分配受害者ipconfig /renew会失败最终拿到 169.254.x.x 的自动专用地址——这在内网里基本等于不可用。还有一个更强力的工具是 yersinia它是一款底层协议入侵工具能伪装多种协议报文并实施欺骗。启动方式是yersinia -G进入图形界面除了 DHCP 攻击它还能伪造 STP、CDP、HSRP、VLAN Trunking 等协议的报文。这类工具的价值在于演示一层防护的局限只防 DHCP 冒充不够还要防耗尽只配静态绑定不够还要防协议级伪造。5. 防御配置与常见问题排查DHCP Snooping、DAI 与五个坑攻击实验看完防御一定要在同一天接着配。我见过太多人做完断网攻击很兴奋但关闭攻击后什么都不做等于只知道怎么打不知道如何防。这一章把防御配置分成三道防线逐步落地最后集中记录五个高频踩坑。5.1 DHCP Snooping信任端口与绑定表DHCP Snooping 的核心机制是信任与不信任。默认所有交换接口都是非信任口非信任口收到的 DHCP Server 应答报文直接丢弃只有手工指定为信任的接口才允许 DHCP Offer/ACK 报文通过。这样做的意义是攻击者在接入侧私搭 DHCP 服务器非信任口会把它的应答报文全部拦截。# 全局使能 DHCP Snooping dhcp snooping enable # 指定业务 VLAN 生效 vlan 1 dhcp snooping enable # 上联口设为信任口通向合法 DHCP 服务器的方向 interface GigabitEthernet0/0/1 dhcp snooping trusted # 查看动态绑定表IP MAC 接口 VLAN 的对应关系 display dhcp snooping user-bind配置逻辑重点在最后一条命令。DHCP Snooping 除了防冒充服务器还有一个更重要的作用监听合法的 DHCP 交互过程建立一张绑定表记录哪个 IP、哪个 MAC、从哪个接口、在哪个 VLAN 下获得了地址。这张表就是后面 DAI 动态 ARP 检测的判断依据。所以 DHCP Snooping 虽然名字叫 Snooping但它的产出其实是一份谁在内网、从哪个口接入、用的什么地址的合法身份清单。没有这张表后续的 IP 源防护和 DAI 都没有数据可查。5.2 ARP 限速与 DAI企业接入层的三道防线第一道防线是 ARP 报文限速。ARP 泛洪攻击的特征是短时间大量 ARP 报文冲击交换机 CPU限速直接砍掉攻击流量。第二道防线是 DAI动态 ARP 检测它检查接入接口收到的 ARP 报文是否符合 DHCP Snooping 绑定表不符合的直接丢弃。第三道防线是静态绑定表适用于企业不给终端动态分配 IP、而是统一配静态地址的情况。# ARP 报文限速按源 MAC 限值防止单台主机泛洪 arp speed-limit source-mac maximum 30 # 按源 IP 限速攻击者改 MAC 逃逸时的兜底 arp speed-limit source-ip maximum 30 # 使能 ARP 报文限速功能部分版本需要显式开启 arp anti-attack rate-limit enable # DAI 动态 ARP 检测接入接口只放行绑定表内的 ARP interface Ethernet0/0/2 arp anti-attack check user-bind enable arp anti-attack check user-bind alarm enable层级防护对象配置位置依赖条件DHCP SnoopingDHCP 冒充服务器交换机全局 接口合法 DHCP 服务器方向配信任口ARP 限速ARP 泛洪攻击交换机全局无DAIARP 欺骗 / 中间人接入接口DHCP Snooping 绑定表或静态表项静态绑定无 DHCP 环境全局 接口人工维护表项无 DHCP 环境时的静态建表做法是全局配置user-bind static建立 IP-MAC-接口的绑定表再在接入接口使能ip source check user-bind enable。这样只有绑定表内允许的 IP 和 MAC 组合才能通过该接口通信既防 ARP 欺骗也防 IP 地址盗用。写法如下# 静态绑定建立 IP、MAC、接口的三元组 user-bind static ip-address 192.168.31.7 mac-address 0021-cccf-1d28 interface Ethernet0/0/2 # 在接入接口启用 IP 源检查 interface Ethernet0/0/2 ip source check user-bind enable这段配置的实际效果是接口 Ethernet0/0/2 只认 192.168.31.7 这个 IP 和 0021-cccf-1d28 这个 MAC其他组合的报文一律丢弃。适用于办公终端固定 IP 的场景。但要注意如果终端换了网卡或挪了接口必须同步修改绑定表否则又是大面积断网事故。5.3 五个高频问题排查记录这是我在反复复现这些实验时踩过的真实坑每一条按现象、原因、解决的顺序记录现象一用默认密码 Admin123 登录 USG 模拟器报错。原因模拟器版本存在差异或该实例已经被之前的使用者改过密码默认密码只在出厂初始状态有效。解决如果只是密码被改且不确定值直接重置模拟器实例恢复出厂状态后再登录。实验环境里不要纠结找回密码恢复出厂比猜密码快得多。现象二执行reset saved-configuration后重启发现之前的配置还在。原因只清了保存的配置运行内存里的配置没有被清除设备重启时再次加载了旧配置。解决reset 之后必须再执行 reboot让设备完全重新加载空配置。重启后再display current-configuration确认是否为空不为空就再来一轮。现象三arpspoof 跑起来后目标主机立刻完全断网而不是正常转发。原因只做了单向欺骗或者忘了开启 IP 转发。受害者把流量发给攻击机攻击机没有转发能力报文直接被丢弃。解决先用echo 1 /proc/sys/net/ipv4/ip_forward开启转发再在两个终端分别执行双向欺骗命令。按笔记里的两条 arpspoof 命令完整执行缺一不可。现象四交换机上开启 DHCP Snooping 后所有合法用户都获取不到 IP 地址。原因上联口没有配置为信任口交换机把合法 DHCP 服务器发出的 Offer 报文当成攻击流量丢弃了。这是配置 Snooping 最常见的低级事故。解决确认连接合法 DHCP 服务器的接口方向在对应接口执行dhcp snooping trusted。查display dhcp snooping看信任口状态确保非信任口只朝用户侧。现象五接口使能 DAI 后整个接入网络的 ARP 全部不通。原因绑定表是空的。DHCP Snooping 没产生绑定条目也没有配任何静态表项DAI 检查每一条 ARP 报文都查不到对应关系结果全部丢弃。解决先执行display dhcp snooping user-bind确认绑定表有数据。如果是静态 IP 环境先配好 user-bind static 三元组再使能 DAI。顺序一定是先有表再检查。6. 实验验证三步确认攻击与防御都生效配置完防御不是结束验证才见真章。我的习惯是强制走完三步验证先复现攻击再确认防御全部关闭然后依次打开防线最后再次复现攻击必须失败。三秒内能看到效果的验证手段我一般用两条命令。# 受害者视角确认被 ARP 欺骗后网关 MAC 被篡改 arp -a # 攻击后查看 DHCP 地址池被占用情况 display ip pool name aa used # 防御生效后确认绑定表有合法记录 display dhcp snooping user-bind第一步验证 ARP 欺骗是否生效在受害者 Win7 上执行arp -a之前先记住真实网关的 MAC 值。执行攻击后查看网关条目MAC 会变成攻击机的网卡 MAC两行信息对不上就说明欺骗成功了。第二步验证 DHCP Snooping 防御攻击发动时地址池显示大量占用开启 Snooping 并配置信任口后地址池不再出现新的假占用记录说明防护开始工作。第三步验证 DAI 效果攻击机和受害者之间重新跑 arpspoofDAI 开启后交换机会拒绝不合规的 ARP 报文此时受害者arp -a里的网关 MAC 保持真实值不变。从那以后我每次做安全实验都强制走一遍复现攻击、关闭防御、逐步开防、再次攻击必须失败的流程。防御配置是否生效不是看命令敲没敲进去而是看攻击能不能被真实挡掉。希望这个习惯也对你排查内网安全问题有帮助。本文还有配套的精品资源点击获取