1.私接路由器导致一半人上不了网

在交换机上开启dhcp snopping报文检测功能

网络故障排查案例
图片素材来自免费商用图库（pixabay），非本站项目实拍。

[Huawei]dhcp enable

[Huawei]dhcp snooping enable 

[Huawei]vlan 1  

[Huawei-vlan1]dhcp snooping enable

[Huawei-GigabitEthernet0/0/24]dhcp snooping trusted 

此时PC开启dhcp后抓包只会出现172.16.10.0网段的dhcp offer报文

解决方法：用arp地址解析协议把PC的mac地址绑定和要分配给他的ip地址进行绑定

拓展：在SW1上使用IPSG功能也可以解决问题

3.不可控区域环路故障

解决方法：设置stp边缘接口，并在边缘接口上开启BPDU保护即可

在sw3上进行配置

[Huawei]int g0/0/3

[Huawei-GigabitEthernet0/0/3]stp edged-port enable 

[Huawei]stp bpdu-protection 

4.无线网络中用户可以扫描到wife但是上不了网

解决方法：由于sw1的mac地址表中没有vlan192（sta1）和vlan1（AP1）的信息，所以sta的信号无法向上传输没有建立通讯。所以需要用vlan trunk放通vlan。

在sw1的g0/0/1和g0/0/2以及ac1的g0/0/1接口进行以下配置：

[AC6605-GigabitEthernet0/0/2]po lin t

[AC6605-GigabitEthernet0/0/2]po tr al v 1 192

 

5.无线集中转发改本地转发后ap掉线

原因：改为本地转发后，sw1下联有三个vlan，分别是vlan10，vlan20，vlan30，所以g0/0/1需改为trunk。并且，AP1刚开机时向上发送dhcp请求包不带标签，但trunk接口需要收到带标签的包，所以默认它的标签为本地pvid的值，pvid默认是1。因此sw1默认他是vlan1。

解决方法：修改为trunk模式，并把sw1的g0/0/1接口的pvid改为30

6.ac和ap在不同网段，出现ap不上线

原因：由于ac和ap处于不同广播域，并且sw2是三层交换机，隔离广播域，所以ap无法广播寻找到ac。

解决方法：此时ap只能单播寻找ac：1.ap使用dhcp获取地址时，同时需要获取ac的地址（在地址池中用dhcp option43字段写清楚ac的地址） 2.用静态路由把ac和ap配通

7.无线信道重叠导致严重干扰

分析：2.4G赫兹中信道1 6 11是完全不重叠的，5G每一个信道都不重叠。1.先在ac上display radio all查看所有信道 2.修改信道值

8.ap频宽设置导致网速变慢

分析：从家用级路由器换成企业级反而网速变慢，是因为频宽没有设置，频宽越大网速越快，所以把频宽调大即可

9.因为poe交换机掉线导致ap集中掉线

分析：有几台ap是集中一起掉线的，说明不是单个ap的故障，因此考虑交换机上出现问题，去ping交换机发现ping不通。

若是单个ap掉线，则去检查该ap的情况，如：水晶头老化，电路故障等

分析：监控网络所在的区域使用的是千兆口连接，当高清摄像头数量过多的时候千兆线路带不动，1.在sw3上输入display int brief查看接口摘要信息，看跑了多少数据。2.发现数据很高，此时换万兆线路成本高，因此使用链路聚合

4条线路就可以实现带宽*4

把sw1的g0/0/11-14口做相同配置，sw2同样配置即可

11.vrrp版本不一致导致双主故障

分析：左边是华为设备，右边桥接华三设备，正常配置后发现出现双主故障，原因是用display vrrp version发现华为是v2版本，华三是v3版本，所以修改统一版本即可

12.ospf注入默认路由（0.0.0.0路由）失败

分析：sw4上查看ospf路由发现没有默认路由（0.0.0.0路由），所以在边界设备R1，R2上注入默认路由【huawei-ospf-1】default-route-advise，此时sw4上仍然没有。因为R1，R2自身需要有一条有效的默认路由，ip route-static 0.0.0.0 1.1.1.10此时即可，或者使用【huawei-ospf-1】default-route-advise always强制下发也行。

13.ospf路由汇总故障

分析：R2，R3设备比较老旧，路由条目过多的话处理不过来。因此需要在ABR设备上进行路由汇总，把相同前缀的明细路由汇总成一条路由，即在R4和R5进行路由汇总，从而减轻设备压力和优化网络

14.ospf开销规划错误导致线路压力过大

分析：路由都从R4-R2-R1导致这条线路压力过大，因此根据实际需求选路，比如让路由都走R4-R3-R1这条线路，只需要把R2这条线路上的开销cost改大即可

15.内网nat故障

分析：这张拓扑中的网络都属于内网，但是不做nat的话PC无法ping通server服务器，原因是因为虽然都属于内网，但是server没有配置发给PC的回程路由，因此需要用nat把10.0网段转换成20.0网段，这样就相当于在同一网段内。因此在R1进行配置即可

16.不同厂商的产品特性不同导致不同

分析：原本是一批锐捷交换机，有一部分换成华为交换机后，厂家按照锐捷的配置翻译成华为的进行配置后无法通讯，原因是因为不同厂商的产品特性不同，锐捷交换机：trunk默认放行所有vlan，华为、华三交换机：trunk默认禁止所有vlan。因此只需要在华为交换机上trunk放通对应vlan即可

17.trunk口未做广播修建，导致广播包泛滥

分析：sw1的三个接口的trunk口都放通所有vlan，导致广播包泛滥，影响性能，比如vlan10发出的广播包会通过sw1传到sw3和sw4上，明显违背了不同vlan划分广播的规则。因此在sw1的三个接口的trunk口放通对应vlan

18.端口安全策略配置错误，导致电脑无法接入网络

分析：交换机端口可以设置接口安全绑定主机，只允许绑定的主机接入网络，这样可以防止非法主机接入网络，配置如下：

指令的意思是：开启端口保护，允许接入的最大mac地址数量是1，手工绑定mac地址和其所在的vlan，此时sw5的g0/0/1口绑定了PC1的mac地址，所以PC1能上网，PC7无法上网，若不需要此功能，先删除绑定再取消端口保护功能即可

19.MAC泛洪攻击导致网络故障

分析：右下角的云接的是一台kali虚拟机来模拟mac泛洪攻击，mac泛洪攻击会发送不同源mac地址，导致sw10把这些数据记录在mac地址表中，导致报表（mac地址表最大记录10万条）从而导致网络瘫痪，解决方法：重启交换机会清空mac地址表，交换机开启端口保护，并设置每个端口最大接受数据的数量。

20.光电复用未自动切换导致故障

分析：combo口表示支持光电复用（在电口插网线，在光口插光纤时会自动识别切换，光口和电口只能插一个），如果没有自动切换会识别不了，此时只需要在combo口手动切换即可。

21.使用私有lacp模式导致链路聚合失败

分析：sw1和sw2分别是华为和锐捷的设备，假如他们之间隔着三公里，这条网线中间肯定有几台中继器，如果中继器出现故障的话，这两天设备互联接口仍然是up状态，所以使用手动聚合的话没办法检测到故障，因此使用lacp聚合（会给对方发报文，如果没有回包则知道出现故障），由于厂商不同，因此不能使用华为私有lacp-dynamic模式，需使用都有的lacp-static模式。

22.三层交换机配置vlanif接口不up

分析：sw4上配了vlanif100的ip地址后，display int brief发现vlanif100接口状态是down，原因是vlanif接口up的条件是至少有一个物理接口上有关于vlan100的数据放通。因此只需要在g0/0/4口配置access并放通vlan100或者在g0/0/2接口配置trunk放通vlan100即可

23.配置静态路由不生效

分析：在sw4上配置静态路由ip route-static 0.0.0.0 0.0.0.0 10.10.10.1 后查看display ip rou发现没有这条静态路由，原因是没有配置到达10.10.10.1的路由，因此只需要配置sw4到达10.10.10.1的路由即可

分析：sw4正常应该和sw2和sw5建邻，但此时只有sw2的邻居。sw4ping10.10.12.1时不通，一步步排查先检查物理线路正常和链路层vlan配置也正常，再display stp brief时发现g0/0/2的状态是DISCARDING说明g0/0/2被阻塞，解决方法是把sw2，3，5的stp关掉即可，但问题是关掉生成树是否会产生环路和广播风暴：答案是不会，原因是sw4的每个接口都属于不同vlan，广播风暴产生的条件是在一个广播域内无限泛滥。

25.接口网络类型不一致导致ospf路由学习失败

分析：有邻居关系正常建立，但是没有学习到ospf路由，ospf学习路由的步骤是：1.建立邻居关系2.收集lsa 3.基于spf算法计算路由 查看了邻居表和lsdb发现都正常，所以问题出现在接口网络类型不一致导致没办法计算路由，所以把接口类型修改一致即可

26.未开启pat机制导致办公业务卡顿

分析：由于server没有去往PC的回程路由，因此在AR1的g0/0/1接口配置nat地址转换成20.0网段，但是PC三台机器办公页面总是卡顿，原因是没有开启pat机制，pat机制：让多台设备共同使用一个ip去访问上级连接，用端口号来区分，因此开启pat机制即可

华为设备默认是开启pat的，以下是关闭的情况

27.漏写回程路由导致业务不通

分析：pc1ping172.16.100.100不通，分段开始排查：1.先检查和网关是否通ping 192.168.10.1 2.检查是否有地址冲突arp -a看mac地址是否是sw2上vlanif1的mac地址 2.在网关sw2查看去上级的路由表display ip routing-table 172.16.100.100发现没有路由信息，于是加上路由ip route-static 0.0.0.0 0 10.10.10.1   3.再在ar1上查看去上级的路由 4.在ar1ping172.16.100.100发现不通，分析去的路由没问题因此监察回程路由 5.在ar1上查看display ip routing-table 192.168.10.1发现回程路由配置错误，所以加上ip route-static 192.168.10.0 24 10.10.10.2此时就解决问题了 

28.防火墙安全策略顺序导致策略不生效

分析：FW配置了一条允许所有网络的安全策略，然后又配置了一天禁止PC2上网的安全策略，但是PC2仍然能ping通client1

原因是安全策略按顺序匹配，把禁止这条安全策略移动到上面即可

29.防火墙特征库未更新导致策略不生效

分析：如果要生成策略禁止访问娱乐类的服务，先配置安全策略，然后添加DNS服务器，再更新应用特征识别库即可

30.防火墙端口映射常见故障

分析：client1要访问server1需要配置nat，在防火墙上配置nat，把172.16.10.100映射成64.1.1.2，把80端口映射为8081，端口映射要避免高危端口防止被误杀，以及打电话询问运营商避开使用封禁端口即可。

工程化排障框架：先分层，再定位

网络故障排查忌”东试试西试试”。建议建立固定套路：物理层（线缆/光模块/端口灯）→ 数据链路（协商速率/双工/VLAN）→ 网络层（IP/网关/路由）→ 传输层（端口/NAT）→ 应用层（DNS/认证/业务）。每步用对应工具固化证据：cable tester、ping/traceroute、telnet/nc 测端口、tcpdump/Wireshark 抓包。

工具箱与案例

traceroute/mtr 看路径与逐跳丢包；netsh（Win）/ip/ss（Linux）看接口与连接；打印机等外设先确认拿到 IP、与终端同网段、未被 VLAN 隔离。把”故障现象→影响范围→变更历史”三要素记下来，多数问题能在复盘中定位到某次配置或某台设备故障。

相关阅读

本文为转载作品。版权归原作者所有；本站仅作技术学习与方案参考，如涉侵权请联系我们删除。