断网疑难杂症之防ARP系统惹的祸（上）

【IT168 专稿】身为企业网络管理员的我们经常会与断网故障打交道， 常规的3步PING法可以解决大部分问题， 通过循序渐进的策略可以在第一时间判断故障所在， 但是最近笔者下属一所学校所发生的断网故障却很奇怪， 笔者经过了多日的排查才最终发现了故障根源， 自己不愿独自享用， 在此写下全过程和各位IT168网络频道的读者分享。

　　一， 网络拓扑结构简介：

　　笔者最近接到一名下属学校网络管理员的求救电话， 电话中描述了自己学校内部网络出现的断网现象。 该学校是一所市属中学， 核心设备是一台欣全向ARP免疫墙路由器， 全学校计算机终端数量大概在100个左右， 通过多个交换机级连在一起， 学校内部没有划分VLAN信息， 最终欣全向ARP免疫墙路由器通过ADSL线路访问外网。

　　二， 故障现象及初步调查：

　　最近有几台终端计算机无法上网， 打开任何页面都无法访问。 笔者对其进行了检测。

　　第一步：通过ipconfig查看地址信息， 网关地址是192.168.1.254， 这个地址是欣全向ARP免疫墙路由器的管理地址， 其他可以上网的终端网关也是此地址。 接下来通过ping 192.168.1.254命令检测网络连通性， 发现链路畅通， 反馈的速度也很快。 (如图1)

　　第二步：PING内网其他计算机例如ping 192.168.1.12(出问题的计算机自身IP地址是192.168.1.13)， 一切畅通没有任何问题。 (如图2)

　　第三步：由上面两步可以看出网络连接并没有任何问题， 不管是内网通讯还是访问网关都是正常的。 接下来打开IE浏览器访问欣全向ARP免疫墙路由器的管理地址http://192.168.1.254可以顺利访问， 输入正确的管理帐户和密码后进入管理界面。 (如图3)

　　第四步：查询欣全向ARP免疫墙路由器的WAN接口状态， 可以看到WAN状态是连接正常的， 同时也获得了相应的外网IP地址。 而且在其他机器上都可以顺利上网冲浪， 从而排除了网关的拨号故障。 (如图4)

第五步：通过欣全向ARP免疫墙路由器的“流量统计”我们可以看出能够正常通讯的IP地址流量正常， 而192.168.1.13这台计算机通过路有器的流量不管是接收还是发送都是0， 这显然不正常。 (如图5)

　　第六步：接下来在192.168.1.13这台故障机上通过nslookup sohu.com检测其DNS解析是否正确， 发现解析不出来， 连接DNS服务器故障。 (如图6)

　　第七步：输入IP地址来访问依然无效， 这说明故障并不是DNS引起的， 还是网络不通。 tracert 58.129.0.3命令执行后从第二跳后起就是requeset timed out， 而第一跳到路由器上是正常的。 (如图7)

　　经过初步诊断我们可以确定一点的是外网连接没有问题， 该机器属于网络不通并不是DNS服务解析的问题， 另外由于机器上tracert到达路由器后继续才超时， 所以造成网络中断很可能是路由器上的设置所为。 但是又因为该机器可以PIGN通网络内其他计算机， 所以内网接口通讯上应该没有受到影响。 因此我们需要从路由器的WAN接口配置下手解决问题。

　　三， 进一步排查故障根源：

　　既然通过上文的排查我们已经将故障定位到路由器上， 所以接下来的工作就是继续在路由器上做文章了。

　　第一步：首先进入到路由器管理界面看看是否是MAC地址过滤处的设置造成网络故障， 在MAC-IP绑定列表中我们看到了IP与MAC地址的对应关系是正确的， 192.168.1.13地址对应的MAC地址与本机查询后的一致都是00-08-02-6b-a3-1a。 (如图8)

　　第二步：在有故障计算机上修改IP地址为192.168.1.15后依旧无法访问外网。 (如图9)

第三步：在命令行下使用“ftp FTP服务器地址”指令后没有任何反应， 由此判断故障不是IE浏览器或者HTTP协议造成的， FTP通讯也不正常。 (如图10)

　　第四步：关闭防火墙再次尝试故障依旧。 (如图11)

　　第五步：查询IE浏览器代理信息没有发现任何问题， 本机IE浏览器没有设置任何代理服务器地址。 (如图12)

　　到此笔者真的是黔驴技穷了， 可以尝试的方法都检测了， 而且路由器上也没有针对本机地址进行过滤。 但是由于本机可以访问网关地址， 所以问题一定是出在路由器上。

　　四， 再次从路由下手检测故障：

　　笔者实在没有办法只得再次从路由下手检测故障。

　　第一步：由于路由器里设置了很多安全策略和拨号信息， 所以首先通过“系统设定”下的“配置文件备份”将参数文件导出备份到本地硬盘， 命名为param.bin。 (如图13)

　　第二步：接下来通过“系统设定”->“恢复出厂值”将路由器还原到出厂设置， 确定后路由器自动重新启动。 (如图14)

　　第三步：再次设置基本信息后在原故障机器上访问www.it168.com， 一切顺利故障被解决。 尝试其他网络应用也都没有任何问题， 看来恢复路由器配置后问题解决。 (如图15)

　　五， 总结：

　　虽然问题得到了解决但是之前我们并没有在路由器仅有的几个设置中找到关于故障主机的过滤或限制设置。 但是排查故障整个过程却又说明问题出在路由器配置上， 毕竟恢复出厂设置并重新设置后能够解决问题。 那么是什么原因造成的这种在设置参数里没有出现却实际存在的过滤和限制呢?由于篇幅关系我们将在下篇文章中为各位揭密这个奇怪少见的故障难题。