出现上述情况只有两种可行性：一是Flex5010交换机设备本身有问题，二是交换机下挂交换机用户有病毒。后联系港湾工程师，反映设备出现问题的概率很小，建议抓包看看是否有病毒。
在Flex5010上，做端口镜像，用sniffer pro进行抓包分析：
启用镜像组1，将交换机端口23作为监控端口，下接装有sniffer pro软件的pc。
Harbour(config)#config mirroriing 1 to 23
24口为上行口，添加被镜像端口24
Harbour(config)#config mirroring 1 add port 24 egress (出端口的数据流
Harbour(config)#config mirroring 1 add port 24 inress（入端口的数据流）
在端口23接一台装有sniffer pro软件的电脑上面，抓包如下图：
通过上图可以看出，ip地址为10.98.21.30的pc向外发送了大量目的端口为139帧长为66字节的数据包。很明显，这是冲击波病毒在作怪。冲击波（Worm.Blaster）病毒2003年8月12日全球爆发，该病毒由于是利用系统漏洞进行传播，没有打补丁的电脑用户都会感染该病毒，从而使电脑出现系统重启、无法正常上网等现象。冲击波（Worm.Blaster）病毒利用的是系统的RPC DCOM漏洞，监听端口69,模拟出一个TFTP服务器，并启动一个攻击传播线程,不断地随机生成攻击地址，尝试用有RPC漏洞的135、139端口进行传播，病毒攻击系统时会使RPC服务崩溃。
我们知道，超长帧（超过1518字节）有封闭网络的作用，主要是引起网络速度变慢或网络瘫痪，而短帧（小余64字节）达到一定流量则会对网络设备的工作协议造成一定程度的破坏，引起设备死机，一般在网络中是不容许大量出现的。小包同样存在这样的问题。由于开始Flex5010下挂少量用户交换机，这个时候网络中短帧虽然存在，但是交换机cpu还有能力处理，一旦超过交换机的负荷（增加下挂用户交换机），网络中存在大量冲击波病毒向外发包(发送目的地址并不存在的arp请求，交换机得到请求之后，不断去寻找目的地址，但是实际上不能转发该报文)，当所有的下挂用户电脑中的冲击波同时并发时，交换机这个时候就处理不过来；又因为是小包，故网络带宽并不大。
