网关MAC在几分钟内被反复改写，所有终端掉线。某感染主机持续发送免费ARP通告冒充网关。在核心网关端口配置静态ARP绑定，隔离感染主机并查杀病毒，恢复正常ARP学习。