1.私接路由器导致一半人上不了网
在交换机上开启dhcp snopping报文检测功能
[Huawei]dhcp enable
[Huawei]dhcp snooping enable
[Huawei]vlan 1
[Huawei-vlan1]dhcp snooping enable
[Huawei-GigabitEthernet0/0/24]dhcp snooping trusted
此时PC开启dhcp后抓包只会出现172.16.10.0网段的dhcp offer报文
解决方法：用arp地址解析协议把PC的mac地址绑定和要分配给他的ip地址进行绑定
拓展：在SW1上使用IPSG功能也可以解决问题
3.不可控区域环路故障
解决方法：设置stp边缘接口，并在边缘接口上开启BPDU保护即可
在sw3上进行配置
[Huawei]int g0/0/3
[Huawei-GigabitEthernet0/0/3]stp edged-port enable
[Huawei]stp bpdu-protection
4.无线网络中用户可以扫描到wife但是上不了网
解决方法：由于sw1的mac地址表中没有vlan192（sta1）和vlan1（AP1）的信息，所以sta的信号无法向上传输没有建立通讯。所以需要用vlan trunk放通vlan。
在sw1的g0/0/1和g0/0/2以及ac1的g0/0/1接口进行以下配置：
[AC6605-GigabitEthernet0/0/2]po lin t
[AC6605-GigabitEthernet0/0/2]po tr al v 1 192
5.无线集中转发改本地转发后ap掉线
原因：改为本地转发后，sw1下联有三个vlan，分别是vlan10，vlan20，vlan30，所以g0/0/1需改为trunk。并且，AP1刚开机时向上发送dhcp请求包不带标签，但trunk接口需要收到带标签的包，所以默认它的标签为本地pvid的值，pvid默认是1。因此sw1默认他是vlan1。
解决方法：修改为trunk模式，并把sw1的g0/0/1接口的pvid改为30
6.ac和ap在不同网段，出现ap不上线
原因：由于ac和ap处于不同广播域，并且sw2是三层交换机，隔离广播域，所以ap无法广播寻找到ac。
解决方法：此时ap只能单播寻找ac：1.ap使用dhcp获取地址时，同时需要获取ac的地址（在地址池中用dhcp option43字段写清楚ac的地址） 2.用静态路由把ac和ap配通
7.无线信道重叠导致严重干扰
分析：2.4G赫兹中信道1 6 11是完全不重叠的，5G每一个信道都不重叠。1.先在ac上display radio all查看所有信道 2.修改信道值
8.ap频宽设置导致网速变慢
分析：从家用级路由器换成企业级反而网速变慢，是因为频宽没有设置，频宽越大网速越快，所以把频宽调大即可
9.因为poe交换机掉线导致ap集中掉线
分析：有几台ap是集中一起掉线的，说明不是单个ap的故障，因此考虑交换机上出现问题，去ping交换机发现ping不通。
若是单个ap掉线，则去检查该ap的情况，如：水晶头老化，电路故障等
分析：监控网络所在的区域使用的是千兆口连接，当高清摄像头数量过多的时候千兆线路带不动，1.在sw3上输入display int brief查看接口摘要信息，看跑了多少数据。2.发现数据很高，此时换万兆线路成本高，因此使用链路聚合
4条线路就可以实现带宽*4
把sw1的g0/0/11-14口做相同配置，sw2同样配置即可
11.vrrp版本不一致导致双主故障
分析：左边是华为设备，右边桥接华三设备，正常配置后发现出现双主故障，原因是用display vrrp version发现华为是v2版本，华三是v3版本，所以修改统一版本即可
12.ospf注入默认路由（0.0.0.0路由）失败
分析：sw4上查看ospf路由发现没有默认路由（0.0.0.0路由），所以在边界设备R1，R2上注入默认路由【huawei-ospf-1】default-route-advise，此时sw4上仍然没有。因为R1，R2自身需要有一条有效的默认路由，ip route-static 0.0.0.0 1.1.1.10此时即可，或者使用【huawei-ospf-1】default-route-advise always强制下发也行。
13.ospf路由汇总故障
分析：R2，R3设备比较老旧，路由条目过多的话处理不过来。因此需要在ABR设备上进行路由汇总，把相同前缀的明细路由汇总成一条路由，即在R4和R5进行路由汇总，从而减轻设备压力和优化网络
14.ospf开销规划错误导致线路压力过大
分析：路由都从R4-R2-R1导致这条线路压力过大，因此根据实际需求选路，比如让路由都走R4-R3-R1这条线路，只需要把R2这条线路上的开销cost改大即可
15.内网nat故障
分析：这张拓扑中的网络都属于内网，但是不做nat的话PC无法ping通server服务器，原因是因为虽然都属于内网，但是server没有配置发给PC的回程路由，因此需要用nat把10.0网段转换成20.0网段，这样就相当于在同一网段内。因此在R1进行配置即可
16.不同厂商的产品特性不同导致不同
分析：原本是一批锐捷交换机，有一部分换成华为交换机后，厂家按照锐捷的配置翻译成华为的进行配置后无法通讯，原因是因为不同厂商的产品特性不同，锐捷交换机：trunk默认放行所有vlan，华为、华三交换机：trunk默认禁止所有vlan。因此只需要在华为交换机上trunk放通对应vlan即可
17.trunk口未做广播修建，导致广播包泛滥
分析：sw1的三个接口的trunk口都放通所有vlan，导致广播包泛滥，影响性能，比如vlan10发出的广播包会通过sw1传到sw3和sw4上，明显违背了不同vlan划分广播的规则。因此在sw1的三个接口的trunk口放通对应vlan
18.端口安全策略配置错误，导致电脑无法接入网络
分析：交换机端口可以设置接口安全绑定主机，只允许绑定的主机接入网络，这样可以防止非法主机接入网络，配置如下：
指令的意思是：开启端口保护，允许接入的最大mac地址数量是1，手工绑定mac地址和其所在的vlan，此时sw5的g0/0/1口绑定了PC1的mac地址，所以PC1能上网，PC7无法上网，若不需要此功能，先删除绑定再取消端口保护功能即可
19.MAC泛洪攻击导致网络故障
分析：右下角的云接的是一台kali虚拟机来模拟mac泛洪攻击，mac泛洪攻击会发送不同源mac地址，导致sw10把这些数据记录在mac地址表中，导致报表（mac地址表最大记录10万条）从而导致网络瘫痪，解决方法：重启交换机会清空mac地址表，交换机开启端口保护，并设置每个端口最大接受数据的数量。
20.光电复用未自动切换导致故障
分析：combo口表示支持光电复用（在电口插网线，在光口插光纤时会自动识别切换，光口和电口只能插一个），如果没有自动切换会识别不了，此时只需要在combo口手动切换即可。
21.使用私有lacp模式导致链路聚合失败
分析：sw1和sw2分别是华为和锐捷的设备，假如他们之间隔着三公里，这条网线中间肯定有几台中继器，如果中继器出现故障的话，这两天设备互联接口仍然是up状态，所以使用手动聚合的话没办法检测到故障，因此使用lacp聚合（会给对方发报文，如果没有回包则知道出现故障），由于厂商不同，因此不能使用华为私有lacp-dynamic模式，需使用都有的lacp-static模式。
22.三层交换机配置vlanif接口不up
分析：sw4上配了vlanif100的ip地址后，display int brief发现vlanif100接口状态是down，原因是vlanif接口up的条件是至少有一个物理接口上有关于vlan100的数据放通。因此只需要在g0/0/4口配置access并放通vlan100或者在g0/0/2接口配置trunk放通vlan100即可
23.配置静态路由不生效
分析：在sw4上配置静态路由ip route-static 0.0.0.0 0.0.0.0 10.10.10.1 后查看display ip rou发现没有这条静态路由，原因是没有配置到达10.10.10.1的路由，因此只需要配置sw4到达10.10.10.1的路由即可
分析：sw4正常应该和sw2和sw5建邻，但此时只有sw2的邻居。sw4ping10.10.12.1时不通，一步步排查先检查物理线路正常和链路层vlan配置也正常，再display stp brief时发现g0/0/2的状态是DISCARDING说明g0/0/2被阻塞，解决方法是把sw2，3，5的stp关掉即可，但问题是关掉生成树是否会产生环路和广播风暴：答案是不会，原因是sw4的每个接口都属于不同vlan，广播风暴产生的条件是在一个广播域内无限泛滥。
25.接口网络类型不一致导致ospf路由学习失败
分析：有邻居关系正常建立，但是没有学习到ospf路由，ospf学习路由的步骤是：1.建立邻居关系2.收集lsa 3.基于spf算法计算路由 查看了邻居表和lsdb发现都正常，所以问题出现在接口网络类型不一致导致没办法计算路由，所以把接口类型修改一致即可
26.未开启pat机制导致办公业务卡顿
分析：由于server没有去往PC的回程路由，因此在AR1的g0/0/1接口配置nat地址转换成20.0网段，但是PC三台机器办公页面总是卡顿，原因是没有开启pat机制，pat机制：让多台设备共同使用一个ip去访问上级连接，用端口号来区分，因此开启pat机制即可
华为设备默认是开启pat的，以下是关闭的情况
27.漏写回程路由导致业务不通
分析：pc1ping172.16.100.100不通，分段开始排查：1.先检查和网关是否通ping 192.168.10.1 2.检查是否有地址冲突arp -a看mac地址是否是sw2上vlanif1的mac地址 2.在网关sw2查看去上级的路由表display ip routing-table 172.16.100.100发现没有路由信息，于是加上路由ip route-static 0.0.0.0 0 10.10.10.1 3.再在ar1上查看去上级的路由 4.在ar1ping172.16.100.100发现不通，分析去的路由没问题因此监察回程路由 5.在ar1上查看display ip routing-table 192.168.10.1发现回程路由配置错误，所以加上ip route-static 192.168.10.0 24 10.10.10.2此时就解决问题了
28.防火墙安全策略顺序导致策略不生效
分析：FW配置了一条允许所有网络的安全策略，然后又配置了一天禁止PC2上网的安全策略，但是PC2仍然能ping通client1
原因是安全策略按顺序匹配，把禁止这条安全策略移动到上面即可
29.防火墙特征库未更新导致策略不生效
分析：如果要生成策略禁止访问娱乐类的服务，先配置安全策略，然后添加DNS服务器，再更新应用特征识别库即可
30.防火墙端口映射常见故障
分析：client1要访问server1需要配置nat，在防火墙上配置nat，把172.16.10.100映射成64.1.1.2，把80端口映射为8081，端口映射要避免高危端口防止被误杀，以及打电话询问运营商避开使用封禁端口即可。
一、分层排障模型（从物理层到应用层）
网络故障排查最忌”乱试”。按 OSI 自底向上：物理层（网卡/线缆/光模块/端口灯）→ 数据链路层（VLAN、MAC、STP、协商速率）→ 网络层（IP、网关、路由、ARP）→ 传输层（TCP/UDP 端口、ACL）→ 应用层（DNS、代理、证书）。先确认链路通断（网卡 up、协商速率正常），再 ping 网关，再 traceroute 看断点在第几跳，最后查应用端口与日志。
二、排障工具箱
- ping / pathping / mtr：看连通性与逐跳丢包延迟。
- traceroute / tracert：定位故障跳点，区分运营商侧还是内网侧。
- Wireshark：抓包看 TCP 重传、RST、DNS 超时、ARP 风暴，可复现 NAT 穿透与三次握手异常。
- 交换机端口：err-disable、CRC 错包、双工不匹配、loop guard 是端口故障高频原因，show interface 看 counters 是第一步。
- 防火墙：iptables/firewalld/nftables/ufw 规则顺序与默认策略决定放行，改前先备份规则、确认 SSH 不会被锁死。
三、工程经验
交换机端口频繁 err-disable 多因 BPDU guard 或线缆接触不良；无线与有线混排时优先固化上联端口；变更防火墙前在测试环境验证并保留回滚命令。运维类故障的闭环是：复现 → 定位 → 临时恢复 → 根因修复 → 复盘沉淀。
相关阅读
本文为转载作品。版权归原作者所有；本站仅作技术学习与方案参考，如涉侵权请联系我们删除。
评论 0
还没有评论，来抢沙发吧。