最佳答案：首先一点，ARP是只有二层MAC地址的广播包，如果有ARP攻击，也是连接在二层交换网络的主机所为，如果是企业网，也是内部员工干的，有时甚至是出问题的网卡触发的。这种ARP广播只要show interf
首先一点，ARP是只有二层MAC地址的广播包，如果有ARP攻击，也是连接在二层交换网络的主机所为，如果是企业网，也是内部员工干的，有时甚至是出问题的网卡触发的。
这种ARP广播只要show interface summary 类似得命令，会看到每个接口 in/out unicast ，multicast ，broadcast 的统计，每10秒刷新一次，再 show一下就可以看到接口统计得变化，只要关心in方向的broadcast 增加最大得接口。那个接口就是肇事接口。
如果是有线网络，如果交换机上有这个feature：arp inspection，可以很快发现这种行为，一般交换机接一个host，或host + IP电话，一个接口最多两个地址足够了，如果发现异常情况，可以直接触发error disable ，关掉接口。
如果交换机下接Hub，可能会有多个主机，多个MAC，这种很难跟踪，因为HUB就是一个集线器，无从知道哪个端口发出来的。这个问题又牵扯到企业网的安全认证了，无论有线、无线，都需要认证，先802.1x认证，对应企业员工；
MAC认证：打印机、不支持802.1x 的设备；
web认证：临时访客，分配单独VLAN，分配最低权限，即只能访问Internet的权限。
所有交换机、AP都启用这个安全认证，这样一旦发生攻击 可以很快定位某台交换机某个端口，可以找到惹事的个人，有证据在，不怕抵赖。
