企业官网建设流程全解析

简介：HCIA-Security网络安全学习笔记是一份面向华为安全认证考生和网络入门者的知识梳理文档，内容围绕USG模拟器使用、协议原理与常见攻击防御展开。资源以单个PDF形式打包，体积约19.3MB，既包含USG环境准备、默认地址与密码、清空配置命令等实验前提，也梳理了OSI七层模型、TCP/IP协议栈、IPv4报文各关键字段及二层/三层/四层协议封装关系，适合边看边搭环境练习。已有568人学习下载。笔记还记录了Nmap、Zenmap、ScanPort、X-Scan等工具的使用场景，以及Kali下arpspoof断网实验的完整命令；针对ARP协议，从请求/响应报文、arp -a、arp -d、arp -s等操作入手，逐步说明ARP欺骗原理，并给出DHCP Snooping、DAI、ARP限速等防御手段。整体偏实战，既适合备考HCIA-Security时快速回顾，也适合希望系统理解网络攻防基础的安全初学者参考。

1. 这份HCIA-Security笔记：从模拟器命令到攻防实验的完整闭环

如果你正打算考 HCIA-Security 或刚接手企业内网的安全运维，最头疼的往往不是理论背不下来，而是打开防火墙模拟器不知道先敲什么。我拆的这份 HCIA-Security 网络安全学习笔记，正好走了一条很务实的路径：从 USG 模拟器的初始登录、改密码、清配置开始，一路做到 Kali 踩点扫描、ARP 断网攻击、DHCP 耗尽，再回到交换机上的 Snooping 与 DAI 防御。它把考纲里的零散知识点压成了一条能直接动手复现的实验链，而不是又一份只讲概念不敲命令的 PPT。适合四类人：备考 HCIA-Security 的、刚接触企业防火墙运维的、想搞懂内网攻击原理的，以及被困在"会答题不会排障"状态里的自学者。

2. USG模拟器从零到能跑实验：初始登录、改密与清配置

学安全最关键的一点是先把实验环境做成"干净状态"。很多人学着学着就翻车，不是因为命令不熟，而是模拟器里残留了上一次实验的路由、DHCP、防火墙策略，新实验一跑起来全是玄学问题。这一章先把 USG 模拟器从开箱到能稳定跑实验的完整流程过一遍。

2.1 初始登录与强制改密：192.168.0.1、admin 与默认密码

模拟器装好后，USG 默认管理地址是 192.168.0.1，浏览器直接访问即可。初始账号密码是 admin / Admin@123，这一步本身没有难度，真正的坑在于很多人直接用默认密码继续做实验，做完一个实验再登录时发现密码忘了或配置串了。

登录后第一件事永远是改密码。笔记里记录的修改结果是 abc-1234（有处笔误写成 abc-12345），这个密码强度虽然一般，但实验环境里统一用同一个密码便于多人协作和后续排错。在真实设备场景下，默认密码 Admin@123 是扫描器重点关注的对象，接入公网的设备只要不改，基本等于裸奔。

# USG 模拟器管理面默认信息 管理地址：192.168.0.1 默认账号：admin 默认密码：Admin@123 # 登录后第一项操作：修改默认密码 # 实验环境统一改为：abc-1234

这段信息看起来简单，但值得说明两点。第一，管理地址固定为 192.168.0.1，意味着你的电脑网卡需要配置一个同网段的 IP 才能访问，比如 192.168.0.10/24；如果你电脑本身开着别的虚拟网卡，访问不通时先检查路由优先级，这是最常见的"连不上模拟器"的原因。第二，改密码后务必记录到笔记里，模拟器不像真实设备有密码恢复流程，忘了密码往往只能重置整个环境，前面的实验全白做。

2.2 清空配置与目录整理：reset saved-configuration 的正确用法

做新实验之前，最忌讳的就是在旧配置上叠新配置。比如上一个实验在接口下开了 DHCP，新实验起 ARP 欺骗时总是收到莫名其妙的 DHCP 应答，你排查半天发现是旧配置没清干净。

USG 清空配置的标准动作是两条命令：reset saved-configuration清掉保存的配置，然后重启设备。这里有个很关键的细节：这条命令只清 saved-configuration，也就是下次启动时加载的配置，内存里正在运行的配置并不会被清掉。所以光敲 reset 不重启，敲完display current-configuration一看，配置还在，很多人就在这里卡住。

# 进入用户视图（<> 提示符）执行清空配置 <USG> reset saved-configuration Warning: The action will delete the saved configuration... <USG> reboot # 重启后设备回到出厂空配置状态

执行完后，还要做一次"目录整理"。模拟器的工作目录下会积累以前实验生成的配置文件、日志、抓包文件。笔记里专门强调了这一点：除拓扑文件以外的东西全部删掉。我一般会把整个工作目录里非当前实验的文件移到备份文件夹，只留当前拓扑文件和一个干净的 cfg 目录。这一步不是洁癖，而是避免下一次打开工程时模拟器自动加载了旧的配置文件，导致新实验的接口 VLAN 配置全乱掉。

2.3 双桥接与 CE6800：实验拓扑怎么摆

实验拓扑里出现"双桥接"和 CE6800 交换机，很多初学者会问：为什么要加一台交换机？Kali 和 Win7 直接分别接到 USG 的两个接口不行吗？

先看一下典型的拓扑结构：

攻击机 Kali ---+ +--- CE6800 交换机 --- USG 防火墙 --- 外网 受害者 Win7 ---+

这里的核心逻辑是：防火墙默认是拒绝流量的，两台 PC 直接挂不同接口，默认策略下互相访问是被拦的，做 ARP 实验时根本看不到效果。中间加一台 CE6800 交换机做二层透传，模拟真实的内网接入场景：Kali 和 Win7 在同一广播域里，ARP 请求能正常泛洪，防火墙只作为网关角色存在。同时这种结构也贴近企业接入层——终端先接交换机，交换机再上联防火墙。

CE6800 在这个实验里的配置负担很小，主要工作是创建业务 VLAN，把连接 Kali、Win7 的接口设为 Access 口，上联防火墙的接口也划进同一个 VLAN。如果模拟器版本支持，直接全部接口走默认 VLAN 1 也能跑通，但既然笔记里给了 CE6800，我建议还是把 VLAN 配一遍，因为后面的 DHCP Snooping 配置是在交换机上做的，一开始就理清接口与 VLAN 的归属，后面做信任端口配置时不会搞混方向。

3. 从OSI到TCP/IP：把报文头字段读成排障线索

这一章表面上是理论，实际是在给攻击与防御打底。你会发现后面所有攻击手段都对应着某一层的协议缺陷：ARP 欺骗在二层，ICMP 在层三，DHCP 耗尽涉及四层以上行为。看不懂报文头字段，抓包就是看天书。

3.1 为什么 OSI 七层被 TCP/IP 取代

笔记原话是"OSI 目前已经被淘汰，TCP/IP 已经取代 OSI 模型"。这句话我认同大半。OSI 七层模型从教学上很有价值，但实际网络排障中，你抓包看到的封装是 TCP/IP 四层结构，报文里根本没有"会话层""表示层"的字段。强行用七层去套抓包结果，反而把简单问题复杂化。

OSI 模型真正的价值在于分层思想：每一层只给相邻上层提供服务，上层不需要关心下层怎么实现。数据链路层为网络层服务，网络层为传输层服务，传输层为应用层服务。所以二层设备看 MAC 和 Type 字段，三层设备看 IP 和 Protocol 字段，四层过滤看端口号。这个"谁为谁服务"的链条，就是排障时逐层定位问题的基础。

TCP/IP 模型直接以实现为锚点，把 OSI 的上三层压缩成一层"应用层"，把链路层和物理层的分工问题留给具体技术去解决。实际排障时就问三句话：通不通（三层）、通得顺不顺（四层）、连的是不是对的服务（应用层）。

3.2 IPv4 报文头：从 Version 到 Padding 的关键字段

笔记里把 IPv4 报文头每个字段都过了一遍，这里挑几个排障中最常用的展开说。Version 字段固定为 4，IHL 表示 IPv4 包头长度，它是可变的，因为 Options 字段可选。抓包时如果看到 IHL 大于 5，说明这个报文带了扩展选项，某些防火墙策略会直接丢弃这类报文来防探测。

TOS 字段现在被拆成 DSCP（差分服务代码点），它和 QoS 直接相关。企业网络里给语音、视频流量打 DSCP 标记，路由器看到标记就知道优先转发哪类流量。所以抓包时如果发现音频抖动，先看 DSCP 标记是不是被中间设备重写了——这是很多人忽略的性能排查点。

Total Length 是总长度，减去 IHL 就是高层数据长度。Identification、Flags、Fragment Offset 这三个字段负责分片和重组。Identification 标记同一组报文分片属于同一个数据包，Flags 里的 MF 位告诉路由器后面还有没有分片，Fragment Offset 决定重组顺序。大包经过 MTU 较小的链路时分片，重组失败往往表现为网页时好时坏，抓包看到大量分片报文且超时未重组，就要检查路径 MTU 问题。

TTL 字段的说明最有意思。笔记里写"现在用来记录传输的跳数，防止三层路由环路"，准确说 TTL 是每经过一个三层设备减 1，减到 0 就丢弃。这个字段是 traceroute 的基础，也是判断网络路径是否绕路的重要依据——同一个目的地址，TTL 剩 50 和剩 20，说明走的路径完全不同。

Protocol 字段标识上层协议，6 是 TCP，17 是 UDP，1 是 ICMP。排障时这个字段极其关键：ping 不通就抓包看有没有 ICMP 回包；web 打不开就确认 TCP 握手是否成功。Header Checksum 只校验 IPv4 报文头，不校验数据部分，所以它防的是报头传输损坏，防不了数据被篡改。

最后是 Options 和 Padding。Options 用于实现松散源路由等高级功能，Padding 是在 Options 不足 32 bit 时填充 0 对齐。现在互联网环境下源路由选项基本被禁用，很多路由器直接丢弃带 Options 的报文，所以这个字段在排障中不太常用，但攻击者可能用它做隐蔽信道探测，抓包看到大量 Options 字段报文要警惕。

# Wireshark 过滤示例：只看 TCP 报文里 IPv4 头字段 ip.version == 4 && ip.proto == 6 # 过滤分片报文：关注 MTU 问题 ip.frag_offset > 0 || ip.flags.mf == 1 # 过滤 TTL 小于 10 的报文：粗查是否绕路 ip.ttl < 10

3.3 层间关系速查：二层 Type、三层 Protocol 与四层端口

各层协议之间的关系，本质是封装与服务的对应关系。二层用 Type 字段告诉交换机"我肚子里装的是谁"：0x0800 表示 IP，0x0806 表示 ARP。三层用 Protocol 字段告诉对端"我肚子里是 TCP 还是 UDP"：6 是 TCP，17 是 UDP，1 是 ICMP。四层用端口号区分应用：80 是 HTTP，21 是 FTP，23 是 Telnet，443 是 HTTPS。

这张表建议直接贴在工位前面。每次排障抓包时，先问自己三个问题：这个报文在二层是什么 Type？在三层是什么 Protocol？在四层是什么端口？能回答清楚这一串，基本就能定位是链路层、网络层还是传输层的问题。

理解层间关系还有一个直接收益：攻击也是分层的。ARP 欺骗发生在二层，ICMP 洪水发生在三层，SYN Flood 发生在四层，HTTP CC 攻击发生在七层。防御手段也按层对应，交换机上开 DHCP Snooping 防二层欺骗，路由器上配 ACL 限速防三层四层攻击，防火墙上做应用识别防七层攻击。没有哪一套策略能覆盖所有层次，这也是为什么只靠一台防火墙防不了内网横向攻击。

4. 攻击实验复现：Nmap扫描、ARP欺骗与DHCP耗尽

理论看完，直接进攻击实验。这一章的实验都在虚拟机隔离网络里做，目标设备是实验环境里的 Win7 和路由器，所有操作在授权范围内。做攻击实验的核心目的不是"学会攻击"，而是亲眼看到攻击生效的报文特征，后面配置防御时才知道自己防的是什么。

4.1 Nmap 踩点与 Zenmap：-sP 参数与扫描耗时

踩点是攻击链的第一步。在实验环境里，Kali 拿到内网 IP 后，第一件事是发现哪些主机存活。nmap 的-sP参数就是干这个的：它不做端口扫描，只通过 ICMP Echo 请求和 TCP 80/443 探测判断主机是否在线。笔记里给的命令是扫描 192.168.6.1 到 192.168.6.120 这个网段，3 到 5 秒就能完成。

# 快速发现存活主机：-sP 只做 Ping 扫描，不碰端口 nmap -sP 192.168.6.1-120 # 查看 nmap 完整使用手册 man nmap # 图形界面版：适合不习惯命令行的操作者 zenmap # 选择 Intense scan profile，20 个地址约需 5 分钟

Zenmap 是 nmap 的图形界面版本，由 nmap 官方提供，用 Python 编写，Windows、Linux、macOS 都能跑。它存在的意义是让不熟悉命令行的读者也能用上 nmap 的全部功能。Intense scan 是内置的扫描模板，包含端口扫描、版本探测、系统指纹识别和默认脚本，信息全但速度慢，通常在确认存活主机之后才使用。

这里有个节奏建议：先用-sP快速圈定存活主机列表，再对目标主机用-sV探测服务版本，最后用-O做系统指纹。一上来就跑 intense scan 纯属浪费时间——大量不存活地址的扫描结果都是噪音，反而干扰判断。

4.2 ARP 协议原理：广播请求、单播响应与静态绑定

ARP（Address Resolution Protocol）解决的是"我知道目的 IP，但不知道目的 MAC"的问题。PC1 要访问 PC2，先在自己的 ARP 缓存里查，查不到就发一个广播请求，目标 MAC 写成全 F，问"谁是 192.168.6.20，请把你的 MAC 告诉我"。PC2 收到后回一个单播响应。交换机看到目标 MAC 是全 F 的帧，会泛洪到所有接口——这就是 ARP 请求的基本行为。

在 Windows 上操作 ARP 缓存是理解这个协议最直接的方式：

# 查看 ARP 缓存表：带 dynamic 标识的是动态学习到的 arp -a # 清空 ARP 缓存表（管理员权限执行） arp -d * # 静态绑定：把 IP 固定到指定 MAC，防欺骗 arp -s 192.168.6.20 1c-87-2c-61-ff-25

arp -a看到带 dynamic 的条目就是动态缓存，它会被新的 ARP 响应报文覆盖。arp -d *清空后可重新学习。静态绑定的效果是让系统不再接受该 IP 的 ARP 更新，但这个做法在终端侧做一两次验证可以，规模化管理不现实——几百台电脑逐台绑 MAC 本身就是运维噩梦。笔记里对 ARP 协议有一段非常到位的总结："ARP 协议太傻，谁给的响应它都相信。"这句概括了整个 ARP 欺骗的根源：无状态、无认证、无条件信任所有响应。

4.3 arpspoof 断网攻击：两条命令与 IP 转发

断网攻击的原理就是利用 ARP 的"傻"，用虚假的 ARP 响应报文毒化受害者或网关的 ARP 缓存表。攻击机 Kali 同时给受害者和网关发欺骗报文受害者发"我是网关，我的 MAC 是 xx"，网关那边发"我是受害者，我的 MAC 是 xx"。两头哄骗的结果是：受害者和网关之间的流量全被引导到攻击机中转。人在中间，就能干三件事：抓包看隐私、给链路加延迟限速、篡改报文内容。

# 开启 IP 转发：被欺骗后流量能经过攻击机继续转发 echo 1 > /proc/sys/net/ipv4/ip_forward # 新开终端 1：欺骗网关，让网关认为攻击机就是受害者 arpspoof -i eth0 -t 192.168.6.1 192.168.6.116 # 新开终端 2：欺骗受害者，让受害者认为攻击机就是网关 arpspoof -i eth0 -t 192.168.6.116 192.168.6.1

参数说明：-i指定网卡，实验环境里 Kali 的网卡通常是 eth0；-t后面先跟目标 IP，再跟要冒充的 IP。第一条命令让网关把发给 192.168.6.116 的报文交给攻击机，第二条命令让 192.168.6.116 把网关方向的报文交给攻击机。两条配合才能形成完整转发链。

为什么要开 IP 转发？因为攻击机收到受害者发给网关的报文后，如果没有开启转发功能，报文会直接丢弃，受害者表现为彻底断网。开启转发后流量能继续走，受害者不会感觉到异常，攻击者则能长期静默观察流量。这是攻击隐蔽性和可用性的关键，也是防御方判断是否被中间人攻击的重要依据。如果实验里发现目标立刻断网，第一反应就是忘了写这条echo。

操作时用Ctrl + Shift + T在 Kali 里新开终端，两条 arpspoof 各占一个终端持续运行。攻击生效后，在受害者 Win7 上执行arp -a查看网关条目，MAC 地址已经变成攻击机的 MAC，这就是欺骗成功的铁证。

4.4 DHCP 耗尽与 Yersinia DoS

DHCP 耗尽攻击的思路和 ARP 欺骗完全不同。ARP 欺骗是利用协议无认证的缺陷，DHCP 耗尽则是利用协议机制本身——DHCP 服务器根据 MAC 地址区分客户端，攻击机不断伪造不同的 MAC 地址发 DHCP Discover 请求，服务器就会不断分配 IP，直到地址池耗尽。

笔记里构造的实验环境是：Win7 虚拟机里运行 eNSP 模拟器，用路由器搭建 DHCP 服务，Kali 通过云彩桥接到交换机上进行攻击。这个拓扑的好处是完全隔离，不会影响真实网络。DHCP 服务的基本配置先搭好：

# 路由器上配置 DHCP 地址池 ip pool aa gateway-list 192.168.6.254 network 192.168.6.0 mask 255.255.255.0 dns-list 114.114.114.114 8.8.8.8 # 接口下启用 DHCP interface GigabitEthernet0/0/0 ip address 192.168.6.254 255.255.255.255 dhcp select global # 查看地址池分配记录 display ip pool name aa used

Kali 发动耗尽攻击的命令是pig.py eth0，它会自动伪造大量 MAC 地址不断发送 DHCP Discover。观察地址池的分配记录，会发现大量假的 MAC 占用 IP，地址池逐渐耗尽。此后正常用户再来请求 IP，服务器无法分配，受害者ipconfig /renew会失败，最终拿到 169.254.x.x 的自动专用地址——这在内网里基本等于不可用。

还有一个更强力的工具是 yersinia，它是一款底层协议入侵工具，能伪装多种协议报文并实施欺骗。启动方式是yersinia -G进入图形界面，除了 DHCP 攻击，它还能伪造 STP、CDP、HSRP、VLAN Trunking 等协议的报文。这类工具的价值在于演示一层防护的局限：只防 DHCP 冒充不够，还要防耗尽；只配静态绑定不够，还要防协议级伪造。

5. 防御配置与常见问题排查：DHCP Snooping、DAI 与五个坑

攻击实验看完，防御一定要在同一天接着配。我见过太多人做完断网攻击很兴奋，但关闭攻击后什么都不做，等于只知道怎么打不知道如何防。这一章把防御配置分成三道防线逐步落地，最后集中记录五个高频踩坑。

5.1 DHCP Snooping：信任端口与绑定表

DHCP Snooping 的核心机制是"信任与不信任"。默认所有交换接口都是非信任口，非信任口收到的 DHCP Server 应答报文直接丢弃；只有手工指定为信任的接口才允许 DHCP Offer/ACK 报文通过。这样做的意义是：攻击者在接入侧私搭 DHCP 服务器，非信任口会把它的应答报文全部拦截。

# 全局使能 DHCP Snooping dhcp snooping enable # 指定业务 VLAN 生效 vlan 1 dhcp snooping enable # 上联口设为信任口：通向合法 DHCP 服务器的方向 interface GigabitEthernet0/0/1 dhcp snooping trusted # 查看动态绑定表：IP + MAC + 接口 + VLAN 的对应关系 display dhcp snooping user-bind

配置逻辑重点在最后一条命令。DHCP Snooping 除了防冒充服务器，还有一个更重要的作用：监听合法的 DHCP 交互过程，建立一张绑定表，记录哪个 IP、哪个 MAC、从哪个接口、在哪个 VLAN 下获得了地址。这张表就是后面 DAI 动态 ARP 检测的判断依据。

所以 DHCP Snooping 虽然名字叫 Snooping，但它的产出其实是一份"谁在内网、从哪个口接入、用的什么地址"的合法身份清单。没有这张表，后续的 IP 源防护和 DAI 都没有数据可查。

5.2 ARP 限速与 DAI：企业接入层的三道防线

第一道防线是 ARP 报文限速。ARP 泛洪攻击的特征是短时间大量 ARP 报文冲击交换机 CPU，限速直接砍掉攻击流量。第二道防线是 DAI（动态 ARP 检测），它检查接入接口收到的 ARP 报文是否符合 DHCP Snooping 绑定表，不符合的直接丢弃。第三道防线是静态绑定表，适用于企业不给终端动态分配 IP、而是统一配静态地址的情况。

# ARP 报文限速：按源 MAC 限值，防止单台主机泛洪 arp speed-limit source-mac maximum 30 # 按源 IP 限速：攻击者改 MAC 逃逸时的兜底 arp speed-limit source-ip maximum 30 # 使能 ARP 报文限速功能（部分版本需要显式开启） arp anti-attack rate-limit enable # DAI 动态 ARP 检测：接入接口只放行绑定表内的 ARP interface Ethernet0/0/2 arp anti-attack check user-bind enable arp anti-attack check user-bind alarm enable

无 DHCP 环境时的静态建表做法是：全局配置user-bind static建立 IP-MAC-接口的绑定表，再在接入接口使能ip source check user-bind enable。这样只有绑定表内允许的 IP 和 MAC 组合才能通过该接口通信，既防 ARP 欺骗也防 IP 地址盗用。写法如下：

# 静态绑定：建立 IP、MAC、接口的三元组 user-bind static ip-address 192.168.31.7 mac-address 0021-cccf-1d28 interface Ethernet0/0/2 # 在接入接口启用 IP 源检查 interface Ethernet0/0/2 ip source check user-bind enable

这段配置的实际效果是：接口 Ethernet0/0/2 只认 192.168.31.7 这个 IP 和 0021-cccf-1d28 这个 MAC，其他组合的报文一律丢弃。适用于办公终端固定 IP 的场景。但要注意，如果终端换了网卡或挪了接口，必须同步修改绑定表，否则又是大面积断网事故。

5.3 五个高频问题排查记录

这是我在反复复现这些实验时踩过的真实坑，每一条按现象、原因、解决的顺序记录：

现象一：用默认密码 Admin@123 登录 USG 模拟器报错。

原因：模拟器版本存在差异，或该实例已经被之前的使用者改过密码，默认密码只在出厂初始状态有效。

解决：如果只是密码被改且不确定值，直接重置模拟器实例，恢复出厂状态后再登录。实验环境里不要纠结找回密码，恢复出厂比猜密码快得多。

现象二：执行reset saved-configuration后重启，发现之前的配置还在。

原因：只清了保存的配置，运行内存里的配置没有被清除，设备重启时再次加载了旧配置。

解决：reset 之后必须再执行 reboot，让设备完全重新加载空配置。重启后再display current-configuration确认是否为空，不为空就再来一轮。

现象三：arpspoof 跑起来后，目标主机立刻完全断网，而不是正常转发。

原因：只做了单向欺骗，或者忘了开启 IP 转发。受害者把流量发给攻击机，攻击机没有转发能力，报文直接被丢弃。

解决：先用echo 1 > /proc/sys/net/ipv4/ip_forward开启转发，再在两个终端分别执行双向欺骗命令。按笔记里的两条 arpspoof 命令完整执行，缺一不可。

现象四：交换机上开启 DHCP Snooping 后，所有合法用户都获取不到 IP 地址。

原因：上联口没有配置为信任口，交换机把合法 DHCP 服务器发出的 Offer 报文当成攻击流量丢弃了。这是配置 Snooping 最常见的低级事故。

解决：确认连接合法 DHCP 服务器的接口方向，在对应接口执行dhcp snooping trusted。查display dhcp snooping看信任口状态，确保非信任口只朝用户侧。

现象五：接口使能 DAI 后，整个接入网络的 ARP 全部不通。

原因：绑定表是空的。DHCP Snooping 没产生绑定条目，也没有配任何静态表项，DAI 检查每一条 ARP 报文都查不到对应关系，结果全部丢弃。

解决：先执行display dhcp snooping user-bind确认绑定表有数据。如果是静态 IP 环境，先配好 user-bind static 三元组，再使能 DAI。顺序一定是"先有表，再检查"。

6. 实验验证：三步确认攻击与防御都生效

配置完防御不是结束，验证才见真章。我的习惯是强制走完三步验证：先复现攻击，再确认防御全部关闭，然后依次打开防线，最后再次复现攻击必须失败。三秒内能看到效果的验证手段，我一般用两条命令。

# 受害者视角：确认被 ARP 欺骗后网关 MAC 被篡改 arp -a # 攻击后查看 DHCP 地址池被占用情况 display ip pool name aa used # 防御生效后确认绑定表有合法记录 display dhcp snooping user-bind

第一步验证 ARP 欺骗是否生效：在受害者 Win7 上执行arp -a之前，先记住真实网关的 MAC 值。执行攻击后，查看网关条目，MAC 会变成攻击机的网卡 MAC，两行信息对不上就说明欺骗成功了。第二步验证 DHCP Snooping 防御：攻击发动时地址池显示大量占用，开启 Snooping 并配置信任口后，地址池不再出现新的假占用记录，说明防护开始工作。第三步验证 DAI 效果：攻击机和受害者之间重新跑 arpspoof，DAI 开启后，交换机会拒绝不合规的 ARP 报文，此时受害者arp -a里的网关 MAC 保持真实值不变。

从那以后，我每次做安全实验都强制走一遍"复现攻击、关闭防御、逐步开防、再次攻击必须失败"的流程。防御配置是否生效，不是看命令敲没敲进去，而是看攻击能不能被真实挡掉。希望这个习惯也对你排查内网安全问题有帮助。

本文还有配套的精品资源，点击获取