前阵子财务部集体掉线，说是“上不了系统”。ping网关，通；查路由，正常。
但抓包一看：两个MAC在抢同一个IP！ 一查，原来是有人私接路由器开了DHCP。新人第一反应是“让财务换IP”，我说：“治标不治本，明天还会崩！”
90%的IP冲突，都是人为或配置漏洞导致，而80%的网工只会清ARP、改IP，从不堵源头。今天，我不讲现象，直接给你两招实战组合拳，一次解决，永不复发。
01 第一招：精准定位冲突源
步骤1：确认冲突存在
终端弹窗“IP地址冲突”或：
# Windows 查看ARP缓存
arp -a | findstr "192.168.10.50"
若返回多个MAC对应同一IP → 确认冲突。
步骤2：在核心/接入交换机查ARP或MAC表
# 华为/华三
display arp | include 192.168.10.50
display mac-address | include 192.168.10.50
输出示例：
IP address MAC address VLAN Port
192.168.10.50 00e0-fc12-3456 10 GigabitEthernet1/0/5 ← 合法PC
192.168.10.50 aabb-ccdd-eeff 10 GigabitEthernet1/0/12 ← 私接路由器！
步骤3：定位物理位置
- 根据端口（如 1/0/12）找到对应办公室
- 若接的是AP或傻瓜交换机，继续下联排查
✅ 技巧：
在交换机上对冲突IP持续ping，同时观察哪个端口的错包突增，也能辅助定位。
02 第二招：彻底阻断 + 防复发
方案A：临时应急 —— 封端口 or 绑定合法MAC
# 华为：关闭非法端口
shutdown interface gigabitethernet 1/0/12
# 或只允许合法MAC通信（端口安全）
interface gigabitethernet 1/0/5
port-security enable
port-security mac-address 00e0-fc12-3456
port-security max-mac-num 1
方案B：长期防御 —— 启用 DHCP Snooping + IP Source Guard
# 全局开启DHCP Snooping
dhcp enable
dhcp snooping enable
# 接入层接口设为非信任（默认）
interface gigabitethernet 1/0/1 to 1/0/24
dhcp snooping binding record
ip source check user-bind enable
# 上联口（连DHCP服务器）设为信任
interface gigabitethernet 1/0/25
dhcp snooping trusted
✅ 效果：
- 非法DHCP服务器无法分配IP
- 终端若伪造IP/MAC，数据包被直接丢弃
03 为什么你的网络总出IP冲突？
04 预防建议（写进运维规范）
- 全网禁用终端手动配IP（通过组策略或准入控制）
- DHCP服务器统一管理，关闭所有非授权DHCP服务
- 接入交换机默认开启端口安全（最大MAC数=1）
- 部署IP-MAC绑定表，异常自动告警
05 结语
IP冲突不是“小毛病”，而是网络管理失控的信号。
真正专业的处理方式，不是让受害者换IP，而是揪出肇事者、加固防线。
能定位是本事，能防住才是水平。下次再遇冲突，用这两招——先抓人，再关门，让你的网络从此清净。