案例一：交換機 CPU 長期 95%+，升級 VRP 固件一招治癒

某單位交換機頻繁中斷，重啟暫緩。排查流量異常、病毒、運營商線路均無果。發現設備運行多年，**VRP 平台軟體版本過舊**。登入後台：

          // CPU 95%+
       // 版本過舊

官網下載最新 VRP 映像，FTP 方式上傳 Flash（先檢查剩餘空間、備份舊配置），boot 指定新映像重啟，重新套用配置。**CPU 瞬間降至 15% 左右，長期穩定**。

教訓：固件版本過舊會導致記憶體洩漏、協議棧缺陷、硬體加速失效等隱性故障。納入定期巡檢：每季核對版本、關注安全公告、規劃升級窗口。

進階技能：利用 Catalyst 交換機原生功能構建「流量可見、源頭可溯、證據可取、隔離可控」閉環

1. 偵測可疑流量：硬體級 NetFlow，零效能損耗

• Cat6500 / Cat4500 (Sup IV/V/V-10GE) 硬體 ASIC 採集 NetFlow，不佔 CPU。
• Sup V-10GE 出廠自帶 NetFlow 卡，零額外投資。

2. 追蹤可疑源頭：IBNS + DHCP Snooping + DAI + IP Source Guard

• 用戶接入即綁定：IP + MAC + 物理埠 + 用戶名（結合 ACS/RADIUS）。
• 防範 IP/MAC 偽裝，確保 NetFlow 見到的源頭真實可信。

3. 自動告警通知：NetFlow Collector 腳本秒級推送

腳本偵測到異常 Flow（如單 IP 5 分鐘超閾值封包/流量） → 郵件通知網管，附帶：

• 用戶 CITG、群組 CITG-1（802.1X 身分）
• 接入交換機 IP、物理介面（如 FastEthernet4/1）
• 客戶端 IP、MAC、5 分鐘內 Flow/Packet 統計

4. 遠端捕獲證據：RSPAN 一鍵鏡像至分析設備

! 接入層交換機
monitor session 1 source interface FastEthernet4/1
monitor session 1 destination remote vlan 999

! 核心/分布層交換機
monitor session 1 source remote vlan 999
monitor session 1 destination interface GigabitEthernet1/1  // 接 NAM/IDS 模組

流量穿越 Trunk 鏡像到核心層分析模組（NAM/IDS），完成深度封包檢查、蠕蟲特徵匹配、取證留存。

5. 一鍵隔離：VLAN/埠口/ACL 多層次阻斷

• 埠口 shutdown / errdisable 物理隔離。
• 動態 VLAN 指派隔離區（Quarantine VLAN）僅允許修復/掃毒流量。
• ACL 拒絕該 IP/MAC 所有業務流量。

---

總結：交換機不只是轉發盒，更是**可見性樞紐、控制執行器**。固件保鮮 + NetFlow 可視 + IBNS 實名 + RSPAN 取證 + 多層隔離，構建企業網路主動免疫體系。