综合来看，你遇到的现象虽然发生在不同层面，但确实很可能指向同一个根源——网络中存在环路。在VLAN 1中抓到非本网段的报文，以及核心交换机上频繁的MAC地址漂移记录，都是环路存在的典型表现。

 问题关联深度剖析

我们来一步步分析，为什么这些现象会同时指向环路：

• VLAN泄漏与环路的关联：正常网络通过VLAN逻辑隔离不同网段。当存在环路时，会引发广播风暴，大量数据包可能通过错误路径在核心交换机与AP之间周而复始地转发，导致VLAN 1中出现游离的、不属于它的数据包。

• 链路聚合与环路的关联：你提到的“3个聚合组”在核心交换机上有MAC漂移，说明核心交换机反复在聚合组的不同成员端口上学到同一个MAC地址。聚合本身用于带宽捆绑和链路冗余-，但环路会导致数据包在捆绑的物理链路间循环，表现为持续的漂移。

• AP下的非法DHCP服务器：从AP下找到的那个持续发送DHCP ACK报文的设备是根本原因。这个“非法DHCP服务器”在回应客户端请求时，因自身缺乏VLAN标记功能，将其响应报文不分VLAN地广播到整个网络。此行为既解释了VLAN泄漏，也触发了持续的广播流量，加剧了聚合链路上的MAC漂移。

 三步排查法，精准定位故障点

请遵循以下步骤操作，每一步都至关重要，有助于隔离问题源头：

1. 第一步：紧急隔离非法DHCP源头

首先处理最直接的威胁，阻止该设备继续干扰网络。

• 找到接入端口：

  • 在核心交换机上：执行命令 display mac-address <非法设备的MAC地址>，查看该MAC是从哪个物理端口或聚合口学习到的。

  • 逐级追踪：如果结果显示是某个聚合口，或指向了另一台交换机，就需要登录到该对端设备，重复执行上述命令，一级一级地向下追踪，直到找到连接该设备的最终接入端口。

  • 联系远程站点：对于无法远程的对端设备，必须立即安排人员现场处理。

• 立即执行隔离：在找到的接入交换机上，进入连接该设备的物理接口，执行以下命令将其端口立即关闭（shutdown）：

  system-view

  interface GigabitEthernet 1/0/x # x为实际端口号 shutdown

2. 第二步：检测并消除环路

隔离了干扰源后，接下来排查并排除可能存在的环路。

• 查看日志与端口状态：

  • 日志排查：在核心交换机上，执行 display logbuffer 命令，搜索 MAC moving、loopback detected、broadcast storm 等关键词，查找环路告警信息。

  • 端口状态：执行 display interface brief 命令，检查是否存在端口频繁 Up/Down（状态翻滚）。

• 利用环路检测协议：

  • 环路检测（Loopback Detection）：执行 display loopback-detection，查看是否已开启（如果未开启，可配置 loopback-detection enable vlan <vlan-id> 临时启用）。此协议可发送检测报文，若在其它接口收到则判定为环路，并将接口关闭。

  • 生成树（STP）：执行 display stp abnormal-port 查看是否存在异常端口；执行 display stp brief 查看端口角色和状态。环路通常会导致 STP 拓扑频繁变更。

• 检查链路聚合一致性：这是最可能出问题的地方。需要登录到核心交换机和每个能访问的聚合对端设备，执行 display link-aggregation summary。仔细核对双方聚合组的模式、负载分担方式和成员端口是否完全一致。M-LAG或虚拟化环境中，请尤其仔细检查一致性；对于无法远程的设备，现场排查的首要任务就是检查此处的配置。

3. 第三步：全局加固网络

在故障解决后，建议部署以下安全功能，防止问题复发：

• 部署DHCP Snooping，彻底防御非法DHCP：

  1. 全局与VLAN开启：在所有交换机上全局开启，并在接入终端的具体业务VLAN（如VLAN 10, 20）中启用：

     dhcp snooping enable

     vlan 10 dhcp snooping enable

  2. 设置信任口：将连接合法DHCP服务器的上联口或聚合口设置为trust，其他连接AP/终端的端口默认为untrust（非信任口）。

     interface Bridge-Aggregation 1

     dhcp snooping trust这样，交换机就会直接丢弃来自非信任口的DHCP Offer/ACK报文，从根本上杜绝了私接DHCP服务器的可能。

• 防护MAC漂移，快速定位环路：
  开启此功能后，一旦设备检测到MAC地址发生漂移，就会立即记录日志并生成告警：

  mac-address notification mac-move

• 开启风暴控制，防止环路冲击：
  在连接终端的端口上设置一个广播/组播/未知单播报文的速率阈值。当环路引起风暴时，端口会自动抑制，保护核心设备。

  interface GigabitEthernet 1/0/x

  broadcast-suppression pps 1000 # 设置合适的阈值