上午九点，接入核心机房那台老旧的网安接入交换机又告警了。端口G0/23流量异常，全日单口下行跑到了940Mbps，工作几乎打满千兆。总结登录上去一看，接入MAC地址表里同一个MAC在三个端口间反复跳——典型的网安环路。查了十分钟，全日发现是工作三楼弱电井里有人私接了一台百兆小交换机，把两条本来独立的总结线路接成了圈。拔掉那根多余的接入网线，告警消了。网安这是全日今天接入网安全工作的第一个具体案例，也是工作日常。

接入网这块，总结说复杂也复杂，说简单也简单。复杂在于终端杂、线路乱、用户行为不可控。简单在于，绝大多数安全问题，根子都在“省事”两个字上。装维图快，把用户光猫设成路由模式还开着DHCP，下面再接个路由器，双重NAT不说，整个二层广播域就被搅浑了。我今天处理了四单类似故障，三单是用户自己动了光猫配置，一单是片区装维遗留的旧跳线没拆干净。

中午前做了一次端口安全策略的批量下发。把办公楼二层接入交换机的闲置端口全部shutdown，启用port-security，最大MAC数设为2，违规动作restrict。这活儿看着机械，但效果立竿见影。上周同一个楼层发生过一次MAC泛洪，有人用软件伪造了大量源MAC，把交换机的CAM表撑爆，导致正常流量被泛洪到所有端口。那次之后我就把动态ARP检测和DHCP Snooping一并开了。今天下发策略时发现，有两台交换机因为IOS版本太老，不支持ip arp inspection vlan，只能先跳过，记下来等窗口期升级。

下午两点，接到用户报障，说网速慢。上门一看，光猫的LAN口接了一台某品牌“穿墙王”路由器，WAN口没插，LAN口却连回了光猫的另一个LAN口。这就是个物理环路。用户说“这样接信号好”。我解释了两句，他似懂非懂。最后把路由器WAN口接上，改桥接，问题解决。走的时候顺手把他光猫的TR-069远程管理密码改了——默认密码全网一个样，这种事不盯着，迟早出问题。

傍晚回机房，翻了一遍今天的接入日志。PPPoE拨号失败记录里有三十多条来自同一个MAC，间隔规律，像是脚本在跑。查了一下，是某个用户路由器里内置的“防掉线”功能，每隔五秒重拨一次。这种不算恶意，但占用了BAS的会话资源。我在BRAS上给这个账号加了限速模板，顺便把会话数上限从默认的8调到了4。接入网的安全，很多时候不是防黑客，是防这种无意识的资源滥用。

今天没出大事件，但几个小口子都及时堵上了。做接入网安全，别指望什么惊天动地的攻防，把环路掐掉、把泛洪拦住、把私接设备管住，八成的问题就没了。剩下的两成，靠的是每天翻日志、改配置、跟用户磨嘴皮子。明天打算把剩下那两台老交换机的固件升了，再把三楼弱电井的跳线重新理一遍。活儿干不完，但干一件就少一件。