① 项目背景
昆区钢铁大街一家税务师事务所，二十多台电脑，财务软件每天上午必报「网络异常，请检查连接」，重启交换机好十分钟，接着犯。网管换了网线、换了交换机端口、重装了客户端，问题照旧。我到现场先看核心交换机的ARP表，同一个IP对应两个MAC，隔几分钟翻一次，这就是典型的IP冲突，而且是有人在网里私接了设备。
② 咨询设计
顺着MAC地址找，最后在二楼洽谈室找到一个TP-Link家用路由器，LAN口插在墙插上，DHCP开着，地址池192.168.1.100起，和财务服务器同一个段。客户觉得「就插个路由器给访客用」，实际上这个路由器的DHCP会把内网地址发给整层楼，谁先应答谁当家。方案三层：核心H3C S5130S上开DHCP Snooping，只信任上联口；开IP Source Guard和ARP防护，非法地址直接丢包；财务单独划VLAN 20，ACL只放行财务软件的8090端口和数据库1433端口。固定设备不再手工填静态地址，全部做DHCP保留，按MAC绑定，人记不住也不会填错。
③ 施工规划
先把弱电间翻了一遍，三十多个信息点标签掉了大半，用Fluke LinkIQ逐条打线序、测长度、测PoE，重新贴标。配线架后面的跳线乱得像鸟窝，全部换成0.5米成品跳线，按楼层分色：财务蓝色、办公灰色、监控黄色。私接的那台路由器没收，面板口用封堵片堵上，交换机关闭未使用端口。财务室两台打印机改成网线直连，不再走Wi-Fi。
④ 安全补丁
私接路由器是内网最大的口子，比病毒还常见。这次顺手做了几件事：开启端口安全，每个口最多学一个MAC，超了就shutdown；开启广播风暴抑制，阈值设5%；财务电脑USB口做白名单，只认两个报税U盾；交换机日志送到日志服务器，留存六个月，等保测评要查。老板原来觉得这些是形式，我把冲突那两天的凭证打印出来给他看，财务三个人半天没法开票，他才明白这不是形式。
⑤ 验收交付
连续观察七天，DHCP Snooping违规日志为零，ARP表稳定。财务软件登录响应从原来平均12秒降到2秒，月末批量开票不再掉线。交付一份地址规划表，哪个VLAN哪个段、哪些地址做了保留，一张A4纸贴机房；给网管做了半天空口培训，教他怎么看ARP表和Snooping日志。
⑥ 售后承诺
网络类的毛病我们最擅长顺藤摸瓜，2小时到场，大年三十也不例外，电话17704868686。地址规划表和配置备份终身免费更新，公司扩员加设备，提前说一声，我们远程把保留地址加上。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）