广播包过多引起的访问WEB速度较慢的现象

某企业网络有各类电脑90多台，通过3M电信光纤上网，使用192.168.1.2-192.168.1.254网段。近一段时间很多同事向网管反应上WEB速度非常慢。

    首先查看路由器的工作状态及网络流量。CPU利用率低于6%，NAT会话数不超过1000，WAN口流量在400K-2.8M之间波动，查看路由器的LAN口信息，没有发现有丢帧，CRC校验也无报错，段时间内刷新接口信息，发现接口广播报文比较多。

     必须做抓包分析，通过ethereal抓包分析，发现网络中ARP报文比较多，发送ARP广播包的IP有两个。其中一个IP为192.168.0.239的机器（MAC 00-10-4d-31-31-1a）不停地给192.168.0.254发送广播，每秒钟15个。第二个IP为192.168.1.200，不停地发送广播报文。

    经网管确认，没有192.168.0.X网段的设备，核对设备登记表，没有发现MAC为00-10-4d-31-31-1a的设备记录。192.168.1.200的电脑为财务在使用，网管称电脑上安装了瑞X公司的防火墙，启用了ARP保护功能。于是建议网管将192.168.1.200上的ARP防护功能关闭，关闭后，192.168.1.200的异常广播包消失。

    解决了192.168.1.200的问题，剩下还要查找192.168.0.239这台机器。由于单凭IP地址和MAC地址无法直接查找到该设备的位置，必须确认该数据包是病毒发送的假数据包，还是有电脑在网络中，而网管不知道。于是将笔记本电脑的IP改为192.168.0.100，ping 192.168.0.239，结果能ping通，证实192.168.0.239这台机器确实存在。

    这台机器到底是谁在用，放在哪里呢？只能通过网卡型号去查找了，因为常用的网卡就那几个品牌，必须找出配置该IP的网卡的型号，于是到google，输入“nic  00-10-4d”，发现是出现的信息中大部分是和NETGEAR有关的，该设备应该为netgear公司生产。

    由于该公司目前仍有使用netgear的交换机，初步判断192.168.0.239是一台netgear交换机的的管理IP，在浏览器中输入http://192.168.0.239，回车，出现netgear交换机的登陆界面（型号：GS724T）。通过默认的密码很快进入设备管理界面，发现交换机的网关为192.168.0.254。发广播包的问题就在于此。此外发现有关IP设置的选项只有两个，DHCP自动获取或手工设置，不能不设置IP地址（晕死！）

    为避免交换机管理IP自动获取，增加日后管理和维护的麻烦。手工设置比较好，于是手工设置IP，结果发现设置完IP地址后，必须输入网关地址，否则系统不能提交。于是更改为192.168.1.239，网关为192.168.1.1。

    再次抓包分析，发现交换机的网管IP 192.168.1.239不再发包，网络中亦没有其他异常ARP广播。

    解决上述两个ARP广播源后，路由器LAN口广播包报文恢复为正常状态，一直困扰网管的问题得到解决。

思考：

1、目前很多PC上安装的防火墙都有ARP防护功能，之前在某学校网站看到提示不要安装某公司的ARP防火墙，理由是该软件大量发送广播包，造成网络震荡。

 2、如果网管型交换机配置了缺省网关后，如果该网关不存在，交换机将持续发送广播报文，对网络造成影响（第一次发现NETGEAR的产品还会这样捣乱）