技术干货华为路由器实战 2026-10-28 企业数据管家文：诚鑫技术团队本文由 AI 辅助生成，经人工审核后发布

总被ARP病毒改表项断网？华为静态ARP把关键地址钉死

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

内网里隔三差五出现怪事：老板办公室的电脑突然上不了网，或者大家同时连不上文件备份服务器，重启一下又好了。这类现象十有八九和ARP有关——网关设备上的动态ARP表项是可以被伪造报文改写的，一旦关键设备的表项被改，通信立马中断。对付这种问题，把关键主机的ARP表项改成静态的，直接钉死在网关上，是最直接的防护手段，配置量不大，效果好。

场景的典型情况是：企业通过DeviceA实现各部门互连，总裁办公室主机和文件备份服务器是手工配置的固定IP，市场部和研发部主机走DHCP拿动态地址。由于市场部有访问外网的权利，主机经常感染ARP病毒攻击DeviceA并修改动态ARP表项，造成总裁办公室与外界通信中断、各部门访问不了备份服务器。思路就是把总裁办公室主机和文件备份服务器这两类关键表项在DeviceA上配成静态ARP。

先在DeviceA上创建VLAN并配好各接口地址。创建VLAN10，把接口加入VLAN10并配置VLANIF10的IP地址：

<HUAWEI> system-view
[HUAWEI] sysname DeviceA
[DeviceA] vlan batch 10
[DeviceA] interface 10GE0/0/1
[DeviceA-10GE0/0/1] portswitch
[DeviceA-10GE0/0/1] port link-type access
[DeviceA-10GE0/0/1] port default vlan 10
[DeviceA-10GE0/0/1] quit
[DeviceA] interface vlanif 10
[DeviceA-Vlanif10] ip address 10.164.1.20 24
[DeviceA-Vlanif10] quit

配置另外两个接口的IP地址：

[DeviceA] interface 10GE0/0/2
[DeviceA-10GE0/0/2] undo portswitch
[DeviceA-10GE0/0/2] ip address 10.164.10.10 24
[DeviceA-10GE0/0/2] quit

[DeviceA] interface 10GE0/0/3
[DeviceA-10GE0/0/3] undo portswitch
[DeviceA-10GE0/0/3] ip address 10.164.20.1 24
[DeviceA-10GE0/0/3] quit

然后在DeviceA上配置两条静态ARP表项，分别是总裁办公室主机和文件备份服务器：

[DeviceA] arp static 10.164.1.1 00e0-fc01-0001 vlan 10 interface 10GE0/0/1
[DeviceA] arp static 10.164.10.1 00e0-fc01-003a interface 10GE0/0/2

配好怎么验证：执行命令display arp static，查看已配置的静态ARP表项，确认两条表项的IP、MAC和出接口都对得上。之后即使内网再出现伪造ARP报文，这两条表项也不会被改写，总裁办公室和备份服务器的访问不会再莫名中断。需要提醒的是，静态表项要和主机实际网卡地址保持一致，主机换网卡或换地址后记得同步更新，否则反而会造成不通。给关键业务地址上双保险的做法，欢迎搜索关注贵州诚鑫致达科技，了解更多内网防攻击实战配置。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。