存在于经典网络架构中的一个信息窃取风险
背景：核心交换机和其他IDC用三层互联，和接入交换机运行二层网络。核心交换机运行VRRP做本IDC内网网关（左边为主，右边为备）。现有其他IDC需访问本IDC内10.1.1.1
拓扑：
流量走向：
入向流量：
1、目的为10.1.1.1的流量到达右边核心交换机
2、右边核心交换机查看本机MAC地址表匹配目标MAC，结果发现查不到，于是在同vlan内泛洪此流量
3、同vlan内10.1.1.1与10.1.1.2都收到此流量
出向流量：
4、10.1.1.1查路由表，发现内网网关为核心交换机，此时左边核心交换机为VRRP主，故ARP解析将左边交换机MAC解析为网关地址
5、流量交给左边交换机，左边交换机根据三层路由表将数据直接传出去
产生问题：右边核心通过泛洪将数据包发给了vlan内所有的服务器，那么只要拿到这个vlan内任意一台服务器的权限就可以嗅探到到达此vlan的所有包
问题原因：由于回包不经过右边交换机，所以右边交换机永远学不到10.1.1.1的MAC。学不到MAC就要在同vlan内泛洪。（单播泛洪）
解决方案：
1、核心交换机做堆叠
2、在交换机无关端口开启阻塞端口泛洪。（SW(config-if)#switchport block unicast）
3、采用全三层组网结构