深夜两点，议漏某公司运维老张的议漏手机突然连续震动——不是电话，是议漏监控告警。内网里三百多台机器同时向网关发送ARP响应，议漏声称自己是议漏核心数据库服务器。攻击者只用了两个命令行工具，议漏就让整个内网的议漏数据流量像改道的河流一样，流进了他的议漏笔记本电脑。

ARP协议本身是议漏个老实人。它在设计时压根没考虑安全——设备问“谁是议漏192.168.1.1”，收到回应就信，议漏不管这回应是议漏真是假。就像你在小区里喊一声“谁是议漏张三”，有人应了，议漏你就把家门钥匙给他。议漏这种信任在1982年的实验室里没问题，但在今天的网络上，它就是个大窟窿。

攻击手法简单得让人发笑。攻击者先扫描内网，搞清谁在用网。然后伪造一条ARP回复：“我是网关，我的MAC是XX:XX:XX:XX:XX:XX”。受害者的电脑信了，把这条错误映射写进缓存——这就是ARP欺骗。从此，受害者发出的所有数据包都先经过攻击者的网卡，像寄信人把信交给了冒名顶替的邮差。

最狠的是，这种攻击没法彻底防住。因为ARP协议是局域网通信的底层依赖，你没法直接禁用它。防火墙能挡住外部入侵，但对内网里的ARP欺骗几乎无感——它伪装得太像正常通信了。我见过不少安全设备配置得密密麻麻的企业，照样被一个懂点网络知识的实习生用Kali系统打穿。

有个真实的案例让我印象很深。某银行支行做内部演练，安全团队故意让一个新人尝试突破。新人没用什么高级漏洞，就靠ARP欺骗劫持了支行行长办公电脑的流量，把行长登录网银时输入的密码明文捞了出来。整个过程不到十分钟，行长全程毫无察觉。事后检查日志，发现交换机的端口安全策略根本没开。

防御手段其实不复杂，但执行起来麻烦。静态ARP绑定能掐死欺骗，但几百台设备的网络里手动维护映射表，运维人员会累到骂娘。DHCP Snooping和动态ARP检测（DAI）能在交换机层面拦截伪造报文，但这要求网络设备支持并正确配置——很多中小公司买完交换机就默认设置扔角落里，功能全在睡觉。

另一个更现实的隐患是：ARP漏洞和无线网络结合时威力翻倍。在公共Wi-Fi下，攻击者只要和你在同一个网段，就能用ARP欺骗轻松嗅探你的聊天记录、网页表单，甚至HTTPS加密前的DNS查询。你以为挂个VPN就安全了？如果VPN客户端在建立隧道前先走了被污染的ARP缓存，那你的初始连接请求照样裸奔。

写这个协议的人当年肯定没料到，一个基于“信任所有邻居”的设计会在四十年后成为内网渗透的敲门砖。技术债就是这样——你当初省下的复杂度，迟早会在安全事件里连本带利还回来。如果你管着网络，现在就去看看交换机的ARP表项是否和实际设备对得上。对不上的话，可能已经有人在你的网络里冒充网关很久了。