监控网络大量ARP报文冲垮办公核心交换机怎么隔离？
公司扩容后把上百个监控摄像头直接接进了办公网，最近核心交换机 CPU 利用率常年高位，办公上网、共享文件夹、视频会议全变卡。登录交换机一看，广播报文里大量 ARP 来自监控设备段。监控和办公到底该怎么隔开？
原因
ARP 是局域网里"查门牌"的基础广播：设备通信前要先广播问一句"这个 IP 是谁"。偶尔问一两次没事，但监控网络自带两类放大器——一是部分摄像头和安防平台设备会周期性对整个网段逐个 ARP 扫描（用于设备发现），几百个点位叠加起来就是每秒成千上万条广播；二是个别设备异常或中毒后狂发 ARP。办公和监控同处一个广播域时，这些广播全部涌向核心交换机，CPU 被打满，正常业务跟着遭殃。所以根子不是哪台设备"坏了"，而是监控网和办公网没有做隔离，监控的日常广播全部由办公网买单。
分步解决
- 先保办公：在核心交换机上对监控上联端口启用广播风暴抑制，情况紧急时临时关闭该端口，核心 CPU 会立刻回落、办公恢复，为后面的排查争取时间。
- 定位源头：查核心交换机的 ARP 表和 MAC 地址表，看广播从哪个端口上来，顺藤摸瓜到汇聚层、接入层，锁定发包的一台或一批设备；明显异常的单机先下线送检，不要让它继续刷屏。
- 划 VLAN 隔离：给监控整体划分独立 VLAN、独立网段，办公与监控从此不在同一个广播域——监控的 ARP 广播被限制在监控网内部打转，核心交换机不再受冲击，这一步是治本。
- 按需放行互访：办公电脑要看录像机页面或平台的，在核心或防火墙上配 ACL，精确放行到录像机地址的某几个端口，其余流量一律不通——既保住业务需要，又互不干扰。
- 收尾验证：接入交换机开启端口风暴抑制与 CPU 保护；观察核心 CPU 曲线一周；规模再大的，给监控网单独配一台网关设备，彻底摆脱对办公核心的依赖。
预防
新建监控项目从设计阶段就执行"监控归监控、办公归办公"：物理分开或 VLAN 隔离二选一，别图省事全插进一个交换机；新设备入网前先在测试环境观察它的广播行为；核心与接入交换机常年开启广播抑制。监控的价值在于稳定录像，隔离做在前面，比事后救火省心得多。
企业存储选型参考｜贵州诚鑫致达
做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。