В участке сети, полностью состоящем из 3028 иногда появляется кратковременный шторм, распространяющийся по всему сегменту. Большое количество ACK летит на определенный IP-адрес абонента (существующий реально, но каждый раз разный) на определенный порт. В качестве отправителей фигурирует несколько десятков других адресов, находящихся как в данном сегменте, так и в других.

Подскажите, плз:
1. Почему так может происходить?
2. Почему пакеты разлетаются по всему сегменту, а не идут конкретно в порт получателю?
3. Можно ли защититься от этого при помощи ACL или еще каким либо образом?

если те компы отправляют эти пакеты на какие нибудь мак-адреса которых нет в этом сегменте, то они будут так разлетаться.

коммутатор если не находит мак адреса на который идут пакеты у себя в fdb то рассылает пакеты на все порты, и если не ошибаюсь это правильный алгоритм его работы. в 3028 вроде есть traffic control с помощью него это разруливается.