网络层隔离优于关机
交换机层的隔离往往优于关机：端口 shutdown、调整 VLAN 或下发 ACL 都能立即切断主机的网络通信，同时保留内存与进程证据，为主机侧取证争取时间。
操作前的确认
动作前要确认该端口下挂了哪些主机与业务：共享链路或堆叠链路被切断会连带影响其他系统，这是网络层隔离最常见的操作事故。
基本信息
| 隔离方式 | 端口 shutdown、VLAN 调整、ACL 或端口安全 |
|---|---|
| 主要优点 | 主机继续运行，内存与进程证据保留 |
| 保留通道 | 管理链路与日志回传 |
| 定位方式 | 按 MAC 地址查端口（mac address-table） |
| 记录要求 | 隔离时间点、操作人与涉及端口 |
| 适用设备 | 支持 VLAN 与 ACL 的二层交换机 |
典型使用场景
- 快速切断受害主机的横向移动路径
- 保留主机内存与进程证据
- 批量隔离同一网段的受影响主机
- 处置完成后的受控恢复
- 复盘时说明网络层做过哪些动作
按 MAC 定位端口并关闭（示例）
按 MAC 定位端口并关闭（示例）
show mac address-table address aa:bb:cc:dd:ee:ff
show interface status | include Gi1/0/10
configure terminal
interface GigabitEthernet1/0/10
shutdown
exit
end输出逐列读法
| 字段 | 含义 | 正常/异常 |
|---|---|---|
| MAC 地址表条目 | MAC 与端口的对应关系 | 用于确认目标主机接在哪个端口 |
| 端口状态 | up、down 或 err-disabled | shutdown 后应为 down |
| VLAN 归属 | 端口所属 VLAN | 调整 VLAN 前先确认业务影响 |
| 端口描述 | 管理员备注 | 用于判断该端口的用途 |
隔离前确认端口上是否还有其他关键业务：共享链路或堆叠链路上的误断会波及其他主机，影响面可能比事件本身更大。
没有设备管理权限时可退而使用主机自身防火墙或物理拔线，但要记录操作方式，因为不同方式对证据的保全效果并不相同。
设备侧的留痕与恢复
- 记录变更前后的端口状态与配置内容
- 保存配置变更记录，便于审计与回滚
- 恢复时按原配置逐项对照并验证连通性
- 把网络层动作与主机层处置的时间线对齐
隔离前后的核对
- 确认目标主机 MAC 与所在端口
- 记录隔离时间点与操作人
- 确认管理链路仍然可用
- 隔离后验证横向连通性是否被切断
- 恢复时按同样的记录流程执行