在某些系统中，有这样的要求，在内网的某些IP地址连接到互联网，并希望这些IP地址不被非法用户盗用。可以通过以下方案实现：

首先，使用ipchains或iptables只允许合法的IP地址连接。

为合法IP建立IP包，讨论这个问题，首先需要了解ARP协议的工作原理。ARP协议是地址解析协议的缩写，其功能和工作原理如下。

在底层的网络通信，两个节点需要相互沟通，首先必须知道源和目标MAC地址。为了使系统能够迅速地找到一个远程节点的MAC地址，每个地方的内核有一个即时的查询表（称为ARP缓存）。在ARP，有是其对应的MAC地址的远程主机的IP地址列表，地址解析协议（ARP）缓存是一个常驻内存的数据结构中，本地系统的内容管理和本地系统的内核保持。默认情况下，ARP缓存中保存的IP地址（和对应的MAC地址），在最后十分钟本地系统进行通信的节点。

在本地主机的ARP高速缓存中存在一个远程主机的MAC地址时，它将不会是一个将远程节点的IP地址到MAC地址的问题。然而，在许多情况下，远程主机的MAC地址不在本地ARP缓存的存在，系统会知道如何在一个远程主机的IP地址处理它，但当MAC地址不在本地ARP缓存，下面的程序用于获取远程节点的MAC地址：本地主机发送广播数据包在网络中的所有节点，询问是否有对应的IP地址的节点（只有一个。）将回答这个ARP广播信息，远程主机的MAC地址将被包含在响应分组。接收返回包后，日e本地节点记录本地ARP缓存中远程节点的MAC地址。

如果我们的IP / MAC关系是固定的，它是为那些合法的IP地址来建立MAC静态的对应关系，即使非法用户的IP地址盗用的Linux路由器不响应那些发出的IP连接请求通过ARP协议来代替使用Linux建立一个静态MAC地址问它的MAC地址，一个IP响应数据盗窃不会得到响应数据无法使用网络服务。

构建静态IP / mac包的方法是创建一个包含正确的IP / mac通信的、包含如下文件的：

192.168.2.32 08:00:4e：b0:24:47

那么 / / RC等。D／rc.local是最后补充：ARP -F

2.4内核的防火墙可以限制IP和MAC，使用这个功能来限制IP地址和MAC地址的合法IP。