私接路由器会造成什么
有人在办公网里私接一台路由器并插在 LAN 口上，它就会像第二个 DHCP 服务器一样对外发 Offer。附近的终端随机拿到错误的网段与网关，表现就是「同一片区域里有人能上网、有人不能」，而且随时段与接入位置变化。这类问题占无线投诉的比例不低，却与射频参数毫无关系。
特征与处置
| 典型特征 | 同一区域终端网段混乱，网关地址与规划不一致 |
|---|---|
| 定位方法 | 在受影响 VLAN 抓包看 Offer 的源 MAC 与源地址，再到交换机查该 MAC 所在端口 |
| 处置手段 | 交换机开启 DHCP snooping，只把合法服务器端口设为信任口 |
| 预防措施 | 端口安全与准入控制，减少随意接入 |
| 影响规律 | 与私接设备同时上电的终端最容易中招 |
现象与定位对照
| 现象 | 指向 | 下一步 |
|---|---|---|
| 部分终端网段异常 | 存在第二台 DHCP 服务器 | 抓包确认 Offer 的源地址 |
| 同一位置时好时坏 | 私接设备被反复上电或断开 | 现场排查插座与交换机端口 |
| 全区域同时异常 | 合法 DHCP 或中继故障 | 先查服务器与中继的链路状态 |
| 只有某些 SSID 中招 | SSID 与 VLAN 映射混用 | 核对 SSID 到 VLAN 的对应关系 |
| 拿到地址但网关不通 | 网关地址被改写 | 对比终端路由表与地址规划 |
抓包与定位
抓包与定位
# 抓包：过滤 DHCP 报文，比较 Offer 的源地址与合法服务器地址
bootp # Wireshark 过滤表达式
# 交换机上定位该 MAC 所在端口
show mac address-table address <MAC>
show interface status出现「同一 Wi-Fi 下有人间歇性断网」时，私接路由是常见原因。先做这一步检查，往往比调无线参数更快见效。
预防比处置更划算：交换机端口开启 DHCP snooping 后，来自非信任口的 DHCP 应答会被直接丢弃。配合关闭未使用端口与接入准入，同类问题再次发生的概率会显著下降。
不要直接用 MAC 过滤封堵了事：私接设备换个地址就能绕过。正确做法是在交换侧开启 DHCP snooping 与端口安全，从信任边界上解决问题。