校園網監控平台發現某棟大樓 VLAN 斷連。匯聚交換機該 100BASE-FX 埠大量入流量、出流量極少。鏡像埠抓包分析，每秒高達 10 萬封包，初看特徵誤判為 Syn Flood 攻擊，匆忙禁用埠口。事後複盤，才發現是典型的二層環路引發廣播風暴。
故障排除：二分法縮小範圍，現場抓出雙上聯釀禍
- 機房端用光電轉換器模擬該 VLAN 閘道，現場找大樓網管配合。
- 大樓主配線間將接入交換機所有網線拔除，接筆電測試通達機房模擬閘道。
- 二分法插回網線：每次插一半測試，有問題換另一半，最終鎖定單條問題線纜。
- 該線連接昨天剛調整網路的部門。網管員說該部門原有一主一備兩條上聯線，另一條也在交換機上找到。
- 單插任一條正常，雙插即故障。現場發現該部門有三台非管理型交換機串聯，其中兩台分別透過這兩條線上聯到接入交換機，形成環路。
- 施工人員不懂拓撲，大樓網管不在場時自行接線錯誤。拔掉任一上聯線即恢復。
故障分析：為何 Sniffer 抓到大量 SYN 包卻非攻擊？
- 匯聚交換機為三層設備，該 VLAN 閘道設於其上，已做靜態 ARP 綁定 MAC。
- 外部 TCP SYN 封包（62 bytes 含 Ethernet+IP header）進入匯聚交換機，因靜態 ARP 重新封裝源/目的 MAC 並重算 CRC，轉發至接入交換機。
- 下游四台非管理型交換機（橋接設備）橋接表無此目的 MAC，收到單播幀皆泛洪轉發，形成環路迴圈。
- 理論上每輪泛洪產生 2n 個副本，迅速佔滿 100BASE-FX 頻寬，形成「單向大流量、反向幾乎無流量」假象，誤導判斷為攻擊。
- VLAN 隔離廣播域，風暴未衝垮核心交換機 CPU，但該 VLAN 已癱瘓。
預防對策：STP + 廣播抑制 + 規範佈線
- 接入交換機若啟用 STP 可避免，但下游非管理型交換機無 STP，環路仍會衝擊上游 VLAN。
- 接入交換機應開啟廣播封包抑制，將影響限制在局部。
- 平時維護網路規範佈線、落實基本防範（標籤管理、備用線記錄、STP 啟用）比事後排錯更重要。