内网广播风暴防护需“源头抑制+路径阻断+安全联动”：关闭非必要广播端口并分场景配置风暴控制；划分vlan严格限制广播域，启用pvlan和禁用代理arp；结合端口安全、dhcp snooping、dai、ipsg实现l2/l3联动防御；部署sflow/netstream监控与api自动响应闭环。

内网广播风暴会迅速拖垮交换机转发能力，导致全网中断。防护核心是“源头抑制+路径阻断+安全联动”，不能只靠单点配置。

关闭非必要广播端口并启用风暴控制

交换机默认允许所有端口泛洪广播帧，需逐端口评估业务需求：

• 接入层下联PC、打印机等终端的端口，应关闭ARP代理、IGMP Snooping（若无组播需求）、并启用广播风暴抑制，阈值建议设为5%～10%带宽（如百兆口设5Mbps）
• 服务器区端口若连接虚拟化宿主机或存储设备，需保留必要广播（如vMotion、iSCSI发现），但应限制未知单播/组播泛洪，使用storm-control unicast/multicast/broadcast分别控制
• 堆叠或级联口必须禁用广播风暴抑制，避免误伤控制报文；改用LLDP+UDLD双向链路检测防环

划分VLAN并严格限制广播域范围

一个VLAN=一个广播域，服务器区尤其要避免“大二层”设计：

• 物理服务器、虚拟机管理网、业务网、存储网、备份网必须分属不同VLAN，禁止跨VLAN二层互通
• 启用Private VLAN（PVLAN）隔离同网段服务器，让Web、DB、Cache服务器互不可见，仅能访问网关和指定服务IP
• 核心交换机上关闭VLAN间代理ARP，防止ARP请求跨VLAN泛洪；用三层接口+ACL精确放行必需流量

启用端口安全与动态绑定联动防御

广播风暴常由MAC地址欺骗、环路或恶意脚本触发，需结合硬件级准入控制：

• 对服务器接入端口启用port-security，最大MAC数设为1（物理服务器）或按VM数量上限（如ESXi设32），违规动作设为shutdown或restrict
• 绑定DHCP Snooping + DAI（动态ARP检测）：Snooping建立合法IP-MAC-端口绑定表，DAI拦截ARP报文并比对，丢弃未签名或冲突条目
• 对接入交换机启用IP Source Guard（IPSG），基于DHCP Snooping表过滤非法源IP报文，从L2/L3双层阻断伪造流量

部署网络监控与自动响应闭环

被动防护不够，需实时感知+秒级响应：

• 在核心交换机开启sFlow或NetStream采样，用Zabbix/Prometheus监控各端口广播包速率，阈值超8%持续10秒即告警
• 通过Python脚本调用交换机API（如Cisco NX-API、H3C RESTful），检测到风暴后自动执行shutdown interface并通知运维；30秒后尝试errdisable recovery，失败则保持关闭
• 将交换机日志（如STP拓扑变更、端口err-disable、DAI丢包计数）统一接入SIEM平台，关联分析定位根因（如某服务器网卡驱动异常、线缆自环）