故障现象还原
某中型制造企业IT部门近期收到大量员工反馈，办公网络出现“间歇性中断”现象。主要表现为：
- 断流特征：用户在浏览网页或传输文件时，每隔10-30分钟会出现短暂的网络中断（约5-15秒），随后自动恢复。
- 性能波动：内部文件服务器访问速度极不稳定，有时正常，有时下载速度降至几KB/s。
- 系统报错：部分终端偶尔弹出“IP地址冲突”或“无法获取有效IP地址”的系统提示，但重启网卡后即可暂时解决。
初步排查发现，所有受影响终端均位于同一VLAN（192.168.10.0/24），且该区域为研发部开放式办公区。IT管理员首先检查了核心交换机配置，未发现端口错误或广播风暴日志；DHCP服务器租约状态正常，IP池未耗尽。然而，随着断网频率增加，业务部门投诉加剧，急需定位根因。
技术根因分析：ARP欺骗机制
在排除了物理链路问题和基础网络设备故障后，此类“间歇性断网”且伴随“IP冲突”假象的典型成因指向了ARP欺骗攻击（ARP Spoofing），也称为中间人攻击（MITM）的一种形式。
什么是ARP欺骗？
ARP（Address Resolution Protocol，地址解析协议）用于将IP地址解析为MAC地址。由于ARP协议本身是无状态的，不验证请求来源的真实性，攻击者可以通过发送伪造的ARP响应报文，声称自己拥有某个IP地址对应的MAC地址。当交换机更新其ARP表后，发往该IP的数据包将被错误地转发给攻击者的机器，从而导致合法用户数据包丢失（表现为断网）或数据被窃听（表现为网速异常或敏感信息泄露）。
为何表现为“间歇性”？
攻击脚本通常周期性发送伪造ARP包。当伪造包覆盖网关的ARP条目时，所有流量经过攻击主机，若攻击主机未开启IP转发或未代理流量，则造成全网断网；若攻击主机仅干扰特定IP，则造成局部断网。一旦正常的ARP广播重新刷新了表项，网络又暂时恢复，从而形成“断-通-断”的循环现象。
实战排查步骤
面对上述症状，建议按照以下步骤进行精准定位，避免盲目替换硬件或重装系统。
头部步：现场终端初步筛查
在一台正常工作的终端上，打开命令提示符（CMD），执行以下命令：
arp -a观察网关IP（例如192.168.10.1）对应的MAC地址是否与核心交换机或无线AP的实际MAC地址一致。如果怀疑有攻击，可以ping网关IP，然后再次执行arp -a，观察MAC地址是否发生变化。如果MAC地址在多次查询中出现跳变，或与其他非网络设备MAC相似，则存在高度风险。
第二步：Wireshark抓包深度分析
这是确认ARP欺骗最直接的方法。在受影响的网段内选取一台机器，安装Wireshark并开启监听：
- 过滤规则：输入
arp进行过滤，只查看ARP协议流量。 - 识别异常：观察是否有大量的ARP Reply报文。重点关注：
- 同一IP地址对应多个不同的MAC地址。
- 非网关IP向网关IP发起 Gratuitous ARP（免费ARP，即主动宣告自己的IP-MAC映射）。
- 源MAC地址属于已知计算机厂商，但宣称自己是网关IP的MAC。
如果发现某个特定的非网关MAC地址频繁发送针对网关IP的ARP Reply，或者不断广播宣称自己是网关，即可锁定嫌疑源。
第三步：追踪物理端口
记下嫌疑MAC地址后，登录核心交换机，执行命令查找该MAC地址所在的物理端口：
show mac address-table | include [嫌疑MAC地址]记录下VLAN ID和端口号（如 GigabitEthernet0/12）。根据端口号在配线架或交换机面板上找到对应的物理位置，或通过资产管理系统查询该端口连接的终端设备（如台式机、笔记本或非法接入的AP）。
综合防御与解决方案
定位源头后，立即断开可疑终端的网络连接，并查杀病毒或卸载恶意软件。为防止再次发生，需从网络架构层面实施防御策略。
1. 交换机侧配置：DAI（动态ARP检测）
在支持三层交换的企业级设备上，启用DAI是优质实践。DAI利用DHCP Snooping建立的IP-MAC绑定表，拦截不符合绑定关系的ARP报文。
配置思路：
- 启用DHCP Snooping：确保可信端口连接上行链路或DHCP服务器，不可信端口连接接入层终端。这将自动生成合法的IP-MAC-Port绑定表。
- 启用DAI：在所有接入端口应用DAI策略。当收到ARP请求或响应时，交换机将检查其IP-MAC映射是否在DHCP Snooping数据库中。若不匹配，则丢弃该包并告警。
2. 终端侧加固：静态绑定与软件防护
对于无法全面部署DAI的小型环境或特定关键服务器：
- 静态ARP绑定：在网关路由器或防火墙上，手动配置静态ARP条目，强制指定关键设备的MAC地址。虽然管理成本高，但在小规模网络中有效。
- 安装网络监控软件：推荐使用NetGuard、AntiARP或各类企业级EDR终端安全客户端。这些软件可在本地监控ARP流量，一旦发现本地ARP表项被篡改，会自动发出警告或临时切断网络连接以保护数据。
3. 物理安全管理
很多ARP欺骗源于内部人员违规接入无线路由器（AP）或使用未打补丁的测试机。IT部门应加强物理端口管理，禁用闲置网口，并对公共区域网络接入实行802.1X认证，确保只有授权设备和用户才能接入网络。
总结
企业网络的“间歇性断网”往往具有隐蔽性，极易被误判为线路老化或设备故障。通过理解ARP协议的脆弱性，结合Wireshark抓包分析与交换机DAI策略，IT运维团队可以高效定位并根治ARP欺骗带来的网络隐患。建立“监测-定位-封堵-加固”的闭环管理体系，是保障企业内网稳定运行的关键。
