“我们 300M 的专线，现在下载文件只有 300KB/s，运营商来了两次都说线路没问题。”8 月 21 日上午，番禺万博一家设计公司的行政主管在电话里已经快哭了。设计公司靠大文件吃饭，一张效果图几个 GB，这个速度等于全公司停工。
这种“运营商说线路没问题、用户说网速很慢”的纠纷，八成出在内网。我们带了测线仪、笔记本电脑和一台备用交换机上门。
第一步：先证明外网没问题
在出口防火墙的 LAN 口直接接笔记本拨测：speedtest 下行 295Mbps，ping 运营商网关 1ms，丢包 0%。外网到防火墙这一段完全正常，问题在内网。这一步很重要——先用数据把责任边界划清楚，避免在错误的方向上浪费时间。
第二步：看交换机指示灯，环路会“说话”
他们内网结构是：防火墙 → 一台华为 S5720 核心交换机 → 四台 TP-Link 傻瓜交换机（TL-SG1024D，24 口千兆）分布在各办公区。
走到第二办公区，一眼就看出问题：那台 TL-SG1024D 的所有端口指示灯都在疯狂同步闪烁，正常状态下各端口应该按各自流量随机闪。全部端口同频率狂闪，是广播风暴的典型特征。再摸机身，烫手。
第三步：抓包实锤
笔记本接到这台交换机的空闲口，wireshark 抓包 10 秒，数据包超过 8 万个，其中 96% 是广播帧（ARP request 和目的 MAC 为 FF:FF:FF:FF:FF:FF 的帧），源 MAC 地址在几个办公电脑之间反复横跳。这就是环路：一个广播帧进来，从所有端口复制出去，又被另一条路径送回来，无限循环放大，几秒内就能把千兆链路的带宽和交换机的 CPU 全部吃光。
顺着网线找，真相很简单：上周新工位调整，实习生多出来一根网线，随手把两头插进了同一台交换机的 12 口和 18 口。傻瓜交换机没有生成树协议，一个环路就能让它自己变成一台广播放大器。
第四步：整改，不只是拔掉那根网线
拔掉网线，风暴 10 秒内平息，全网恢复 295Mbps。但只拔线不改结构，下次还会有人插回去。我们做了三件事：
| 整改项 | 具体做法 | 费用 |
|---|---|---|
| 核心交换机开启保护 | 华为 S5720 全局开 RSTP，下联端口配 stp edged-port enable + stp bpdu-protection，收到 BPDU 直接 shutdown 端口并告警 | 已购设备，配置免费 |
| 更换接入交换机 | 四台傻瓜机中三台继续用（预算原因），最关键的二楼换成 H3C S5120V3-28P（支持 STP/环路检测），约 1800 元 | 1800 元 |
| 端口标识与培训 | 所有网口贴标签（上行口用红色标“禁止接入电脑”），给行政做了一次 15 分钟培训：任何人不许私自接网线 | 免费 |
整改当天下午复测：四个办公区同时测速均在 280Mbps 以上，交换机 CPU 占用从 100% 降到 12%。两周后回访，一切正常。
为什么傻瓜交换机最怕环路
管理型交换机有 STP（生成树协议），能自动发现环路并把其中一条链路置为阻塞状态，逻辑上“剪断”环。傻瓜交换机没有这个能力，也没有环路检测，遇到环路就是全盘瘫痪。所以我们的原则是：超过 20 个网口的办公环境，接入层至少要有一台管理型交换机，H3C/华为/锐捷的入门款 1500-2500 元就能买到，这笔钱不能省。
办公室网速慢的排查顺序（按命中率排序）
- 看交换机指示灯：全端口同步狂闪 = 环路/广播风暴；单口狂闪且该口没大流量业务 = 可疑。
- 分界测速：在出口设备 LAN 口直连测速，正常则问题在内网，不正常找运营商。
- 查 WiFi 还是有线：只有无线慢、有线快，多半是 AP 信道冲突或带机量超标，和交换机无关。
- 抓包看广播占比：wireshark 里 Statistics → Capture File Properties，广播帧超过 30% 就要怀疑环路或中毒（ARP 病毒也会广播风暴）。
- 查网线与协商速率：千兆口协商成 100M 半双工，网速会断崖式下降，通常是水晶头氧化或线序错误，测线仪一测便知。
设计公司、电商公司、直播间这类“网络就是生产力”的场景，建议做一次完整的内网体检：拓扑梳理、环路风险点、WiFi 覆盖热图、交换机固件版本，我们广州范围内上门检测，出报告，检测费 500 元（后续整改签约可抵扣）。