Cisco 交換機處理流程

1. 查看日誌確認： show logging 出現 %IP-4-DUPADDR: Duplicate address 172.30.30.62 on Vlan711, sourced by 0009.6b84.189e，判定為 ARP 病毒。
2. 封鎖病毒源 MAC： 進入全域配置模式，執行
   mac-address static <mac-address> vlan <vlan-id> drop
   例：mac-address static 0009.6b84.189e vlan 711 drop
3. 處理受感染主機： 隔離該電腦進行殺毒。
4. 恢復存取： 確認乾淨後，執行
   no mac-address static 0009.6b84.189e vlan 711 drop
   恢復該主機網路存取。

H3C 交換機處理流程

1. 查看日誌： dis log 顯示 Duplicate address 192.168.1.1 on interface Vlan-interface101, sourced by 001b-b970-266d。
2. 定位連接埠： dis mac-address 0016-e67c-7c9f 發現從 GigabitEthernet1/0/4 學習到該 MAC。
3. 啟用黑洞 MAC 封鎖：

   interface GigabitEthernet1/0/4
    mac-address blackhole 001b-b970-266d vlan 101
   

4. 隔離殺毒： 拔除網路線，於主機端全盤掃毒。
5. 解除封鎖：

   interface GigabitEthernet1/0/4
    undo mac-address blackhole 001b-b970-266d vlan 101
   

關鍵差異對照

動作	Cisco	H3C
查詢日誌	show logging	dis log
封鎖指令	mac-address static <mac> vlan <id> drop	mac-address blackhole <mac> vlan <id>
解除封鎖	no mac-address static ... drop	undo mac-address blackhole ...
查詢 MAC 學習埠	show mac address-table address <mac>	dis mac-address <mac>

防護建議

• 核心交換機啟用 DAI (Dynamic ARP Inspection) / ARP 檢測 功能，自動過濾偽造 ARP 封包。
• 邊緣埠開啟 Port Security 限制 MAC 學習數量與綁定。
• 定期巡檢日誌，建立 ARP 異常告警機制。
• 端點電腦安裝防 ARP 欺騙軟體（如 AntiARP）作為第二道防線。