案例名稱：
《利用交換機解決局域網ARP問題》
*技術範圍：
交換 病毒
技術關鍵詞：
Switch 2950， ARP；
*案例描述：
局域網有兩個VLAN，每個VLAN約200個節點，經常會出現一種情況：在某一個VLAN開始有一兩個用戶不能上網，一段時間過後整個VLAN不能上網，但另外一個VLAN可以正常上網。
*解決思路：
此問題第一次出現時，解決方案是全網殺毒。將所有機器的病毒清除之後發現兩個VLAN正常工作。但這種解決辦法過於簡單，且佔用用戶時間很長，影響辦公效率。
通過抓包研究分析，此現象是局域網內ARP病毒造成。找到問題的源頭後，採用一些辦法快速解決問題。
具體步驟如下：
1，分析問題：在開始不能上網的機器上運行cmd-->arp –a，查看數據列表是否有可疑地址，如下列表中紅色字體顯示：
C:\Documents and Settings\sam>arp -a
Interface: 10.0.6.8 --- 0x2
Internet Address Physical Address Type
10.0.6.1 00-0b-5f-bb-9d-80 dynamic
10.0.6.105 00-1a-92-74-ca-cd dynamic
再運行cmd-->arp –d，清除ARP列表，重新運行arp –a，看數據列表的可疑IP地址是否仍然存在。如果不存在，說明此IP地址正常，如果仍然存在，說明此機器可以肯定有ARP病毒，從下表可以看出：6.105的機器告訴“我”它的MAC地址是6.1（網關
）：
C:\Documents and Settings\sam>arp -a
Interface: 10.0.6.8 --- 0x2
Internet Address Physical Address Type
10.0.6.1 00-1a-92-74-ca-cd dynamic
10.0.6.105 00-1a-92-74-ca-cd dynamic
2，當發現這種情況時，首先記下他的MAC地址，然後登陸到該VLAN網段的交換機上進行查找：
在交換機上輸入命令show mac-address-table mac 001a.9274.cacd（MAC地址的輸入格式不能錯） 回車，如果顯示的結果是交換機的千兆上連端口則說明不在此交換機上，如果顯示的結果是交換機的某一個以太網口，則說明此端口與該IP地址相連，進入該接口模式將其管理性關閉。
3，再次運行-->cmd-->arp –a 看ARP列表是否正常，如下圖所示則爲正常：
C:\Documents and Settings\sam>arp -a
Interface: 10.0.6.8 --- 0x2
Internet Address Physical Address Type
10.0.6.1 00-0b-5f-bb-9d-80 dynamic
4，在有ARP病毒的用戶機器上單獨殺毒並解決，直到局域網恢復正常。
*關鍵技術：
show mac-address-table address XXXX.XXXX.XXXX
mac-address-table是交換機的MAC地址表。交換機之所以能夠直接對目的節點發送數據包，而不是像集線器一樣以廣播方式對所有節點發送數據包，最關鍵的技術就是交換機可以識別連在網絡上的節點的網卡MAC地址，並把它們放到一個叫做MAC地址表的地方。這個MAC地址表存放於交換機的緩存中，並記住這些地址，這樣一來當需要向目的地址發送數據時，交換機就可在MAC地址表中查找這個MAC地址的節點位置，然後直接向這個位置的節點發送。
通常此MAC地址表被管理員放在遺忘的角落，在大多數情況下也確實用不上MAC地址表。但是有時候反過來用卻能起到意想不到的效果。
*使用命令：
1. 2950(config)#ishow mac-address-table address XXXX.XXXX.XXXX #查找MAC地址在交換機上的端口，注意MAC地址書寫方式
2. 2950(config)#interface f0/23 #進入此接口模式
3. 2950(config-if)#shutdown #關閉此接口
* 命令解釋：（略）
*網絡拓撲圖：（見下圖）
*備註：
1，此方法不是最終、最好的解決方案，但是在網絡管理和桌面維護方面遇到ARP病毒卻不能很好的解決問題時，不妨拿出來作爲替代解決方案。
2，此方案僅對局域網內交換系統爲可管理交換機有效，如果是低端不可管理的交換機，則不能照本宣科、生搬硬套。