企業為了安全將內網（核心機密業務）與外網（互聯網訪問）物理隔離，卻因一名員工「好心」將辦公室內兩台TP-Link小交換機用網線連通，導致兩張網絡合二為一，雙DHCP服務器爭奪客戶端，引發大面積掉線、IP地址錯亂。本文還原故障全過程，揭示DHCP協議機制下的連鎖反應，並給出低成本定位與防範方案。

一、雙網並行：內外網架構對比

維度	內網（核心業務）	外網（上網辦公）
核心交換機	Cisco 4507R	Cisco 4503
接入交換機	Cisco 3750	Cisco 2960
地址規劃	10.1.1.0/24 (A類)	172.16.1.0/24 (B類)
DHCP服務器	10.1.1.1	172.16.1.1
關鍵服務器	DNS、Web、郵件、人事、文件	僅DHCP

▲ 圖1 內網結構圖

▲ 圖2 外網結構圖

二、辦公室「擴展口」埋下隱患

因信息點不足，多個辦公室分別用一台TP-Link 8口交換機級聯內網、外網信息點（圖3）。某日一員工發現外網不通，誤以為兩交換機未互聯，私自用一根網線將兩台TP-Link直連，瞬間打通內外網。

▲ 圖3 錯誤連接示意圖

三、故障爆發：雙DHCP「搶地址」導致全網亂碼

1. 現場癥狀

• 內網電腦獲取到 172.16.x.x（外網地址），無法訪問內網服務器；
• 外網電腦獲取到 10.1.x.x（內網地址），無法上網；
• 大量用戶投訴斷網，網管電話被打爆。

2. 根因深度剖析：DHCP協議的「先到先得」機制

DHCP Discover為廣播包，兩張網合一後，內外網DHCP服務器同時收到請求並發送Offer。客戶端採用最先收到的Offer，導致跨網段獲取錯誤IP、網關、DNS，自然無法通信。

四、低成本「拔線法」精準定位故障點

機房逐根拔除配線架跳線，拔到某辦公室線路時網絡恢復，鎖定該房間。現場確認：正是那根「好心」網線連通了內外網兩台TP-Link。拔除後全網秒級恢復。

五、防範與管理建議

1. 物理隔離落地：內外網交換機機架分色標識，端口貼標簽「內網專用/外網專用」。
2. 端口安全：接入交換機開啟port-security限制MAC數量，關閉未用端口。
3. DHCP Snooping：核心/聚合層僅信任上行端口DHCP回應，攔截偽造Offer。
4. 用戶教育：嚴禁私自調整網線，故障必須走工單流程。