2. 企业网络故障分类与定位策略
企业网络故障排查最忌讳“凭感觉换设备”。同一句“上不了网”，可能来自网线水晶头氧化、VLAN 未放行、路由缺失、DNS 解析失败或应用端口被防火墙拦截。若没有统一的分类框架，排障就会变成随机试错。本节把故障按 OSI 四层落地划分，并给出分层定位、分段隔离与假设验证三种可复用的方法。
一、四层故障分类：先归类，再动手
企业网络排障通常聚焦物理层、数据链路层、网络层、应用层四层。分类的目的不是学术严谨，而是让工程师在第一时间锁定“该看什么、该测什么”。
| 层次 | 典型故障对象 | 关键判据 | 常用工具/命令 |
|---|---|---|---|
| 物理层 | 网线、光模块、配线架、端口、供电 | 链路是否 Up、有无 CRC/错包、光功率是否在范围内 | Fluke LinkIQ、DTX/DSX 线缆认证、光功率计、show interface |
| 数据链路层 | VLAN、Trunk、STP、MAC 表、聚合 | VLAN 是否放行、MAC 是否学习、有无环路/阻塞 | show vlan、show mac address-table、show spanning-tree |
| 网络层 | IP 地址、网关、路由、ACL、NAT | 能否 ping 通网关、路由表是否有目标网段、ACL 是否放行 | ipconfig/ifconfig、tracert、show ip route、show access-lists |
| 应用层 | DNS、DHCP、HTTP/HTTPS、数据库、认证 | 域名能否解析、端口是否可达、服务是否响应 | nslookup、telnet 端口、curl、抓包分析 |
需要强调：分类是“入口”，不是“终点”。很多故障是跨层的，例如 DHCP 失败可能同时涉及物理层链路、VLAN 划分和 DHCP 中继配置。分类的价值在于给出排查顺序和证据链。
二、分层定位：自下而上还是自上而下
分层定位的核心是“用证据决定方向”。常见两种路径：
- 自下而上：从物理层开始，逐层确认链路、VLAN、IP、应用。适合“完全不通”“大面积中断”的场景。
- 自上而下：从应用层现象出发，反推下层。适合“个别用户访问特定系统失败”的场景。
实际工作中更常用的是“先看现象边界，再选方向”。例如：整层楼都断，优先查物理层和汇聚链路；只有财务部访问 ERP 失败，优先查 ACL、路由和应用端口。
三、分段隔离：把大问题切成小问题
分段隔离的本质是“用边界缩小故障域”。企业网络天然存在多个边界：接入交换机端口、汇聚链路、核心路由、防火墙、出口路由器、应用服务器。每跨过一个边界，就多一次可验证的观测点。
一个可复用的分段方法是“三点定位”：
- 终端侧：确认本机 IP、掩码、网关、DNS 是否正确，网卡是否协商到正确速率。
- 接入侧：在接入交换机上确认端口 Up、VLAN 正确、MAC 已学习、无 CRC 错包。
- 核心/出口侧：确认路由可达、ACL 放行、NAT 正常、目标端口开放。
如果三点中某一点异常，故障域就锁定在该点与上一点之间。例如终端能 ping 通网关，但 ping 不通核心，问题大概率在汇聚链路或路由配置，而不是终端网线。
四、假设验证：让每一次操作都有依据
假设验证是排障从“经验驱动”走向“证据驱动”的关键。每次只验证一个假设，并记录结果。一个合格的假设必须包含：现象、可能原因、验证方法、预期结果。
示例：某工位无法访问内网 OA，但能访问外网。
- 假设 1：VLAN 划分错误。验证：在接入交换机查看端口 VLAN 与网关 VLAN 是否一致。预期：一致则排除。
- 假设 2：ACL 拦截了 OA 网段。验证：在核心交换机查看 ACL 命中计数。预期：命中计数增加则确认。
- 假设 3：DNS 解析异常。验证：用 nslookup 解析 OA 域名。预期：解析失败则确认。
每次验证后，要么确认假设并修复，要么排除并进入下一个假设。切忌同时改多个配置，否则无法判断哪个操作真正解决了问题。
五、把方法落到一次真实排障中
假设某企业三层办公网，财务部反映“ERP 系统打不开，但网页正常”。按上述方法：
- 分类：网页正常说明物理层、数据链路层、网络层基本可达，问题更可能集中在应用层或网络层的 ACL/路由策略。
- 分层定位：从应用层入手，先 nslookup ERP 域名，再 telnet ERP 服务器端口。若域名解析正常、端口不通，则向下查网络层。
- 分段隔离：在财务部终端 ping ERP 服务器 IP。若不通，在核心交换机查看去往 ERP 网段的路由和 ACL。若 ACL 命中计数增加，则确认拦截。
- 假设验证：假设“ACL 未放行财务部网段访问 ERP 端口”。验证方法：查看 ACL 命中计数并临时放行测试。预期：放行后端口可达。确认后按变更流程正式修改 ACL。
六、常见误区与纠正
- 误区一：一上来就重启设备。重启会清除日志和计数器，破坏证据链。应先采集 show 命令输出和抓包。
- 误区二：同时改多个配置。无法判断哪个操作生效。应一次只改一个变量。
- 误区三：只看终端不看网络。终端 IP 冲突、DNS 错误也会表现为“网络故障”。应先确认终端侧参数。
- 误区四：把应用层问题当网络层问题。端口不通可能是服务未启动，而非 ACL 拦截。应先用 telnet 或 curl 验证端口。