故障背景与现象还原
某中型制造企业（员工约200人）近期反馈办公网络出现间歇性严重卡顿。具体表现为：上午9点至11点的高峰期，网页加载极慢，ERP系统响应延迟超过5秒，甚至出现间歇性断连。然而，互联网出口带宽利用率仅为30%，排除了外部网络拥堵的可能。IT部门初步检查发现，核心交换机CPU负载偶尔飙升至90%以上，且部分接入层交换机的指示灯闪烁频率异常剧烈。
面对此类“局部慢、全局卡”的现象，传统的ping测试往往只能显示高丢包率，难以定位根因。经过对故障时间窗口的复盘，我们发现异常流量高峰与公司内部定时备份任务启动时间高度重合，这提示我们可能存在广播风暴或恶意报文干扰。
深度排查过程
第一步：排除物理链路基础故障
首先，我们对核心交换机至汇聚交换机的上联链路进行了光模块功率检测和双工模式核对，确认无误。随后，在客户端PC上执行arp -a命令，发现网关MAC地址在某些时间段发生了跳变，这通常是ARP欺骗或MAC地址不稳定的典型征兆。
第二步：利用交换机日志定位MAC漂移
登录接入层交换机，查看系统日志（Syslog）。我们重点关注了"MAC address table overflow"和"Port flapping"相关的告警。日志显示，来自办公区3楼某台终端的MAC地址，在5分钟内频繁出现在不同端口上。这种剧烈的MAC漂移现象，通常意味着两种可能：
- 终端网卡故障：网卡硬件损坏导致发送错误的源MAC。
- 非法私接路由器/交换机：员工私自接入小型无线路由器，且该设备开启了DHCP服务，形成了二层环路或广播风暴。
第三步：Wireshark抓包分析ARP请求
为了确认是否为ARP欺骗，我们在疑似故障网段的核心交换机镜像端口连接笔记本电脑，使用Wireshark进行抓包过滤。应用过滤器 arp.operation == 1（ARP Request）和 frame.len < 100 以聚焦小包流量。结果令人震惊：每秒存在数百个针对网关IP的ARP请求，且源MAC地址并不唯一，部分请求甚至冒充网关IP发送ARP应答（Gratuitous ARP），导致其他客户端的ARP缓存表被污染。
技术分析：当大量伪造的ARP应答进入网络，客户端会将错误的MAC地址解析为网关IP。如果该MAC指向一台非网关设备（如中毒主机或非法路由），数据包将被错误转发或直接丢弃，造成“假死”现象。
根本原因定位
结合交换机端口镜像追踪到的流量源头，最终锁定问题位于办公区B栋3层的一个工位。经现场核查，该员工私自接入了一台老旧的无线路由器，并将LAN口连接到办公网插座。由于该路由器未正确配置且未启用DHCP服务隔离，它成为了一个广播域内的不稳定节点。更严重的是，该路由器与其他网络设备之间形成了一个微环路，触发了交换机的生成树协议（STP）频繁收敛，导致网络拓扑不稳定，进而引发大规模的ARP泛洪和CPU过载。
解决方案与加固措施
找到病灶后，采取以下分层治理方案彻底解决问题：
1. 即时止损：物理隔离与端口关闭
立即在接入交换机上关闭该违规端口，并通知相关部门没收非法私接设备。此时，网络流量恢复正常，CPU负载降至5%以下，业务访问速度显著提升。
2. 技术加固：配置端口安全与DHCP Snooping
为防止类似事件再次发生，需在所有接入层交换机上部署以下安全策略：
- 开启DHCP Snooping：仅允许信任端口（UpLink）发送DHCP Offer消息，阻断非法DHCP服务器。配置示例：
dhcp snooping\ninterface gigabitethernet 0/1\ndhcp snooping trust - 配置Port-Security（端口安全）：限制每个端口的最大MAC地址学习数量（例如设为1或2），防止用户私接交换机或Hub。一旦检测到超过阈值的MAC地址，端口将自动Shutdown。配置示例：
switchport port-security maximum 2\nswitchport port-security violation shutdown - 开启BPDU Guard：在非边缘端口上启用BPDU Guard，一旦收到BPDU报文（表明可能连接了交换机），立即关闭端口，防止环路形成。
spanning-tree bpduguard enable
3. 网络架构优化：启用ARP防护
在支持的网络设备上，开启ARP检测功能（Dynamic ARP Inspection, DAI）。DAI会拦截所有的ARP请求和应答，并根据DHCP Snooping建立的绑定表验证ARP报文的合法性，从而彻底杜绝ARP欺骗攻击。
总结与建议
企业内网访问缓慢往往不是单一因素造成，而是物理连接、协议配置和安全策略共同作用的结果。本案例中，ARP欺骗与二层环路互为因果，放大了故障影响。对于IT管理员而言，建立“最小化信任”原则至关重要。通过实施DHCP Snooping、Port-Security和DAI等基础安全特性，可以有效构建内网的免疫屏障。同时，定期的网络健康巡检和员工网络安全意识培训，也是预防此类人为因素导致故障的关键环节。
