斷網疑難雜癥之防ARP系統惹的禍（上）

【IT168 專稿】身為企業網絡管理員的我們經常會與斷網故障打交道， 常規的3步PING法可以解決大部分問題， 通過循序漸進的策略可以在第一時間判斷故障所在， 但是最近筆者下屬一所學校所發生的斷網故障卻很奇怪， 筆者經過了多日的排查才最終發現了故障根源， 自己不愿獨自享用， 在此寫下全過程和各位IT168網絡頻道的讀者分享。

　　一， 網絡拓撲結構簡介：

　　筆者最近接到一名下屬學校網絡管理員的求救電話， 電話中描述了自己學校內部網絡出現的斷網現象。 該學校是一所市屬中學， 核心設備是一臺欣全向ARP免疫墻路由器， 全學校計算機終端數量大概在100個左右， 通過多個交換機級連在一起， 學校內部沒有劃分VLAN信息， 最終欣全向ARP免疫墻路由器通過ADSL線路訪問外網。

　　二， 故障現象及初步調查：

　　最近有幾臺終端計算機無法上網， 打開任何頁面都無法訪問。 筆者對其進行了檢測。

　　第一步：通過ipconfig查看地址信息， 網關地址是192.168.1.254， 這個地址是欣全向ARP免疫墻路由器的管理地址， 其他可以上網的終端網關也是此地址。 接下來通過ping 192.168.1.254命令檢測網絡連通性， 發現鏈路暢通， 反饋的速度也很快。 (如圖1)

　　第二步：PING內網其他計算機例如ping 192.168.1.12(出問題的計算機自身IP地址是192.168.1.13)， 一切暢通沒有任何問題。 (如圖2)

　　第三步：由上面兩步可以看出網絡連接并沒有任何問題， 不管是內網通訊還是訪問網關都是正常的。 接下來打開IE瀏覽器訪問欣全向ARP免疫墻路由器的管理地址http://192.168.1.254可以順利訪問， 輸入正確的管理帳戶和密碼后進入管理界面。 (如圖3)

　　第四步：查詢欣全向ARP免疫墻路由器的WAN接口狀態， 可以看到WAN狀態是連接正常的， 同時也獲得了相應的外網IP地址。 而且在其他機器上都可以順利上網沖浪， 從而排除了網關的撥號故障。 (如圖4)

第五步：通過欣全向ARP免疫墻路由器的“流量統計”我們可以看出能夠正常通訊的IP地址流量正常， 而192.168.1.13這臺計算機通過路有器的流量不管是接收還是發送都是0， 這顯然不正常。 (如圖5)

　　第六步：接下來在192.168.1.13這臺故障機上通過nslookup sohu.com檢測其DNS解析是否正確， 發現解析不出來， 連接DNS服務器故障。 (如圖6)

　　第七步：輸入IP地址來訪問依然無效， 這說明故障并不是DNS引起的， 還是網絡不通。 tracert 58.129.0.3命令執行后從第二跳后起就是requeset timed out， 而第一跳到路由器上是正常的。 (如圖7)

　　經過初步診斷我們可以確定一點的是外網連接沒有問題， 該機器屬于網絡不通并不是DNS服務解析的問題， 另外由于機器上tracert到達路由器后繼續才超時， 所以造成網絡中斷很可能是路由器上的設置所為。 但是又因為該機器可以PIGN通網絡內其他計算機， 所以內網接口通訊上應該沒有受到影響。 因此我們需要從路由器的WAN接口配置下手解決問題。

　　三， 進一步排查故障根源：

　　既然通過上文的排查我們已經將故障定位到路由器上， 所以接下來的工作就是繼續在路由器上做文章了。

　　第一步：首先進入到路由器管理界面看看是否是MAC地址過濾處的設置造成網絡故障， 在MAC-IP綁定列表中我們看到了IP與MAC地址的對應關系是正確的， 192.168.1.13地址對應的MAC地址與本機查詢后的一致都是00-08-02-6b-a3-1a。 (如圖8)

　　第二步：在有故障計算機上修改IP地址為192.168.1.15后依舊無法訪問外網。 (如圖9)

第三步：在命令行下使用“ftp FTP服務器地址”指令后沒有任何反應， 由此判斷故障不是IE瀏覽器或者HTTP協議造成的， FTP通訊也不正常。 (如圖10)

　　第四步：關閉防火墻再次嘗試故障依舊。 (如圖11)

　　第五步：查詢IE瀏覽器代理信息沒有發現任何問題， 本機IE瀏覽器沒有設置任何代理服務器地址。 (如圖12)

　　到此筆者真的是黔驢技窮了， 可以嘗試的方法都檢測了， 而且路由器上也沒有針對本機地址進行過濾。 但是由于本機可以訪問網關地址， 所以問題一定是出在路由器上。

　　四， 再次從路由下手檢測故障：

　　筆者實在沒有辦法只得再次從路由下手檢測故障。

　　第一步：由于路由器里設置了很多安全策略和撥號信息， 所以首先通過“系統設定”下的“配置文件備份”將參數文件導出備份到本地硬盤， 命名為param.bin。 (如圖13)

　　第二步：接下來通過“系統設定”->“恢復出廠值”將路由器還原到出廠設置， 確定后路由器自動重新啟動。 (如圖14)

　　第三步：再次設置基本信息后在原故障機器上訪問www.it168.com， 一切順利故障被解決。 嘗試其他網絡應用也都沒有任何問題， 看來恢復路由器配置后問題解決。 (如圖15)

　　五， 總結：

　　雖然問題得到了解決但是之前我們并沒有在路由器僅有的幾個設置中找到關于故障主機的過濾或限制設置。 但是排查故障整個過程卻又說明問題出在路由器配置上， 畢竟恢復出廠設置并重新設置后能夠解決問題。 那么是什么原因造成的這種在設置參數里沒有出現卻實際存在的過濾和限制呢?由于篇幅關系我們將在下篇文章中為各位揭密這個奇怪少見的故障難題。