案例一：ARP 病毒偽裝網關，中午關機「自愈」揭祕密

現象

某子網用戶反映上網時斷時續，Ping DNS 不穩。遠程檢查三層交換機上聯埠無異常。中午用戶下班關機後網路恢復，下午上班又故障。

診斷關鍵：用戶反映「禁用再啟用網卡」能暫時好 10 分鐘

這正是 **ARP 重新學習過程**。懷疑有機器中毒偽造網關 MAC。抓一台機器對比：

• 正常時 arp -a 顯示網關 MAC 正確。
• 故障時網關 MAC **驟變為陌生位址**。

解決

1. 記下偽造 MAC，在樓層交換機 MAC 地址表 display mac-address 查詢對應埠口。
2. 拔除該埠網線，網路即時恢復。
3. 中毒機器殺毒後恢復正常。

總結

• 多到用戶端聽描述，抓住故障本質（ARP 學習週期性中斷 → 偽網關）。
• 詭異現象優先查用戶端病毒，非必然是網路設備問題。

案例二：用戶端交換機雙線互連成迴路，未配置業務埠卻無告警

現象

7 號三層交換機遠程不通，現場檢查：供電正常、光纖正常、Ping 網關不通、CPU 38%、日誌無告警。**e0/3 埠流量異常（輸入≫輸出）**，shutdown e0/3 後業務恢復。僅三個埠流量異常，確為用戶端發包過大導致上聯擁塞。

排查

1. 筆記本配用戶公網 IP 直連光纖 → 正常，排除光模塊/線路故障。
2. 接上用戶交換機 → 三層交換機即故障，鎖定用戶交換機。
3. 用戶交換機無檔案、端口無業務說明 → **逐一拔線法** 配合機房人員回報。
4. 拔除用戶交換機 e2/8 線路 → 故障消失。檢查另一端竟連在同交換機 e2/29 → **雙線互連形成迴路**。
5. 兩埠均未配置業務、未啟用 STP/環路檢測 → **無日誌告警**。

總結

1. 用戶佈線混亂、無標籤、業務走向不明 → 迴路主因。
2. 空閒埠未配置 → 交換機無法產生迴路日誌、無法識別故障 VLAN。
3. 迴路廣播風暴 = ARP 病毒狂發封包，同樣導致設備 CPU 飆高、遠程失聯，需靠流量特徵區分。

---

給網管的三條鐵律：

1. 機房資料歸檔：每根線、每個埠、每個 VLAN、每台設備責任人，必須有據可查。
2. 日常巡檢看日誌、看流量：三層交換機介面流量、CPU、錯誤計數器、Syslog，早發現早處理。
3. 用戶端接入管控：Port Security、BPDU Guard、Loop Detection、802.1X，從源頭堵住迴路與偽裝攻擊。