故障背景与现象还原
某中型制造企业IT部门近期接到大量员工反馈，办公网络在每日上午10点至下午2点之间出现频繁的“间歇性断网”。具体表现为：电脑右下角网络图标显示“无Internet访问”或直接断开连接，持续几秒至几分钟不等，随后自动恢复。重启网卡或重启电脑往往无效，且断网时间无规律，严重影响视频会议和ERP系统操作。
初步排查未发现物理线路松动或交换机端口故障，运营商线路指标也正常。由于故障具有间歇性和随机性，传统的Ping测试难以捕捉瞬时异常，这成为本次排查的一大难点。
深度排查：从表象到根源
第一步：流量监控与链路层分析
鉴于现象集中在局域网内部，IT工程师决定从网络底层入手。在核心交换机镜像端口上部署Wireshark抓包工具，并开启持续捕获模式。经过半天的观察，在断网发生时，抓取到了大量异常的ARP数据包。
关键发现：在极短的时间窗口内，目标网关（192.168.1.1）的MAC地址发生了剧烈变化，同时同一网段内多个终端的ARP缓存表中，网关对应的MAC地址在不同值之间快速跳变。这是典型的
ARP欺骗（ARP Spoofing）或ARP泛洪攻击特征。
第二步：定位攻击源
为了锁定发起伪造ARP请求的具体主机，工程师分析了ARP响应包中的源IP和源MAC地址。数据显示，有一个非授权的静态IP地址（192.168.1.50，实际应为某台遗留的测试服务器或非法接入的路由器）正在向全网广播虚假的网关MAC地址。
此外，进一步排查发现，该IP地址对应的MAC地址在交换机端口表中存在“MAC地址漂移”现象，即同一个MAC地址在短时间内出现在不同的交换机端口上，暗示攻击者可能使用了虚拟网卡工具或恶意脚本在内网漫游。
解决方案与实施步骤
确认故障原因为内网ARP欺骗攻击后，采取“立即阻断+长期防御”的双重策略进行修复。
1. 紧急处置：静态ARP绑定与端口隔离
首先，在网络交换机和核心防火墙上实施临时措施，阻止非法IP获取网关权限：
- 交换机端口安全配置：将疑似感染的主机所在接入交换端口设置为
shutdown状态，防止攻击继续扩散。 - 关键设备静态ARP绑定：在核心交换机和网关设备上，对关键的服务器IP和终端重要设备（如财务PC）的MAC地址建立静态ARP绑定表项。命令示例（Cisco）：
arp 192.168.1.50 aa:bb:cc:dd:ee:ff arpa
此举可确保即使收到动态ARP欺骗包，设备也会优先信任静态表项，维持通信稳定。
2. 根治方案：部署DAI（动态ARP检测）
为从根本上杜绝ARP欺骗，建议在支持VLAN和ACL的企业级交换机上启用Dynamic ARP Inspection (DAI)功能。DAI是IEEE 802.1X标准的一部分，能够拦截所有非信任端口的ARP报文。
- 配置信任端口：将连接网关、核心服务器和合法DHCP服务器的交换机端口标记为
trusted，允许其发送ARP应答。 - 启用DAI全局及VLAN级别：在非信任端口（即普通用户接入端口）启用DAI。当收到ARP请求或应答时，交换机将检查其是否与DHCP Snooping绑定表中的IP-MAC映射一致。如果不一致，则丢弃该包并记录日志。
3. 辅助加固：DHCP Snooping与ACL
DAI通常依赖DHCP Snooping生成的绑定表来验证ARP包的合法性。因此，必须同时开启DHCP Snooping功能：
- 在交换机全局和VLAN模式下启用DHCP Snooping。
- 指定连接DHCP服务器的端口为信任端口。
- 配置访问控制列表（ACL），限制ICMP和特定协议广播包的速率，防止泛洪攻击消耗交换机CPU资源。
后续监控与维护建议
故障修复后，建议建立长期的网络健康监控机制：
- 日志审计：定期检查交换机产生的DAI丢弃日志和DHCP Snooping违规日志。若发现大量非法ARP包，应立即排查对应端口的用户行为。
- 网络准入控制（NAC）：对于高安全需求的环境，部署NAC解决方案，在用户接入网络前验证其终端合规性（如杀毒软件状态、补丁版本），防止被入侵的设备成为内网攻击跳板。
- 定期漏洞扫描：每月对内网资产进行一次漏洞扫描，及时发现并修补可能导致远程代码执行的软件漏洞，减少内网横向移动的风险。
总结
企业内网的间歇性断网往往不是简单的线路问题，而是潜伏在网络底层的逻辑攻击所致。ARP欺骗因其隐蔽性强、利用门槛低，已成为中小型企业常见的网络安全威胁。通过引入DAI、DHCP Snooping等技术手段，结合严格的端口管理和监控策略，可以有效构建起坚固的内网防御体系，保障业务连续性。