排查步骤及命令：
1. 检查ARP主动确认功能配置：
display arp anti-attack active-ack
确认是否开启且未限制源MAC/IP合法性。
2. 查看ARP学习限制配置：
display arp learning strict
若未开启，交换机默认学习所有ARP响应包（即使IP不存在）。
3. 开启ARP严格学习模式：
[H3C]arp learning strict
仅学习来自已知IP的ARP响应（需配合DHCP snooping或静态ARP绑定）。
4. 配置ARP源MAC检查：
[H3C]arp anti-attack source-mac-check enable
丢弃源MAC与ARP包中MAC不一致的报文。
5. 绑定合法IP-MAC：
[H3C]arp static 192.168.1.115 0011-2233-4455 vlan 1
对关键IP配置静态ARP，防止虚假学习。
关键原理：active-ack仅处理ARP请求的主动确认，不验证响应包的合法性；需结合严格学习、源MAC检查或静态绑定来过滤虚假ARP。