故障背景与现象还原
在企业日常运维中，"网络时好时坏"是最令人头疼的问题之一。某中型制造企业IT部门近期接到多起投诉，反映办公区部分电脑在高峰期频繁出现网络连接断开，表现为浏览器加载缓慢、ERP系统登录超时、打印机离线等现象。重启网卡或交换机端口后，问题暂时缓解，但数小时或数天后再次复发。
经过初步观察，故障并非影响全网，而是集中在两个特定的VLAN内。这种间歇性且局部爆发的特征，通常指向二层网络问题，而非物理线路损坏。常见的嫌疑对象主要包括ARP欺骗病毒和交换机环路。
排查思路：从流量异常到拓扑结构
面对此类模糊的网络故障，盲目更换设备往往效率低下。我们需要采用分层排查法，首先确定是单点问题还是广播风暴，其次定位是恶意攻击还是配置错误。
第一步：利用Wireshark捕获异常流量
Wireshark是网络故障排查的神器。在受影响的用户电脑上安装并启动Wireshark，选择对应的网卡进行抓包。重点关注以下两种异常：
- 大量ICMP Redirect消息：如果看到短时间内源源不断的ICMP类型5（重定向）报文，极有可能是内网中存在主机正在执行ARP欺骗，试图劫持默认网关流量。
- 广播/组播流量激增：观察数据包列表中的Source MAC地址。如果发现同一个MAC地址在极短时间内出现在不同的源IP上，或者总流量瞬间占满带宽上限，这通常是二层环路的征兆。
操作提示：在过滤栏输入
icmp.type == 5可以快速筛选出ICMP重定向包；输入arp.request可以查看ARP请求的频率。正常环境下，ARP请求应该是稀疏且偶发的。
第二步：检查交换机日志与MAC地址漂移
如果怀疑是环路，登录核心交换机和管理层交换机，查看系统日志（Syslog）。启用MAC地址漂移检测功能是关键步骤。
在华为/H3C交换机上，可以通过命令查看接口统计信息和MAC地址表变化：
display mac-address | include MAC_Address_Flapping
如果系统日志中出现"MAC Address Flap"告警，说明某个MAC地址在端口A和端口B之间频繁切换。这几乎证实了环路的存在。通常，环路会导致生成树协议（STP）不断计算拓扑，导致端口状态在Forwarding和Blocking之间震荡，从而引发网络震荡。
第三步：使用命令行进行连通性与路由追踪
当网络不稳定时，使用 ping 和 tracert 测试链路质量。在Ping默认网关时，如果频繁出现超时而偶尔通，说明链路拥塞或存在中间节点故障。
此外，可以使用 arp -a 命令查看本地ARP缓存表。正常情况下，默认网关对应的MAC地址应该是唯一的且固定不变的。如果发现网关IP对应了多个不同的MAC地址，或者出现了非网段主机的MAC地址，基本可以判定发生了ARP欺骗。
解决方案与加固措施
定位根源后，需采取针对性的修复手段，并建立长效机制防止问题复发。
针对ARP欺骗的治理
- 部署静态ARP绑定：在核心交换机或防火墙上配置ARP静态绑定表，将IP地址与正确的MAC地址及入站端口绑定。这是最直接的防御手段。
例如：arp static 192.168.1.1 aa-bb-cc-dd-ee-ff interface GigabitEthernet0/1 - 启用DHCP Snooping与DAI：在接入层交换机上开启DHCP Snooping信任端口和非信任端口隔离，并结合动态ARP检测（DAI）功能，自动丢弃非法的ARP报文。此方法能从根本上阻断大多数ARP欺骗攻击。
- 终端防护：确保终端安装了最新的安全补丁，并建议使用具备ARP防火墙功能的第三方安全软件作为最后一道防线。
针对交换环路的治理
- 确认并消除物理环路：检查网络布线，拔掉非必要的备用网线，特别是那些两端都插在上联口或同一台交换机上的线缆。很多时候，环路是由员工私自添加的小路由器或集线器引起的。
- 优化STP配置：确保所有参与二层交换的设备都启用了STP（生成树协议）或RSTP（快速生成树协议）。检查根桥（Root Bridge）是否位于核心位置，避免次优路径导致的延迟。
- 关闭闲置端口：在交换机上配置Port Security，将未使用的接入端口设置为shutdown状态，防止员工私自接入违规设备。
- 配置Loopback Detection：在交换机全局或接口级别启用环路检测功能，一旦检测到环路，自动关闭受影响端口并发送告警。
预防与维护建议
网络稳定性依赖于良好的设计和管理。建议IT部门定期执行以下操作：
- 网络拓扑文档化：保持最新的物理连接图和逻辑拓扑图，任何变更都需记录在案。
- 基线监控：部署网络监控系统（如Zabbix、PRTG或SolarWinds），对关键链路的带宽利用率、错误包数量进行实时监控。设置阈值告警，以便在问题扩大前介入处理。
- 定期审计：每季度进行一次网络安全审计，检查交换机配置合规性，清除不必要的静态ARP条目和过时的VLAN配置。
通过上述系统化的排查与加固，绝大多数由ARP欺骗和交换环路引起的间歇性断网问题都能得到彻底解决。对于中小企业而言，投入少量精力完善二层网络的基础安全配置，将显著提升办公体验和业务连续性。