無效路由條目鬧故障

引言： 筆者單位有同事反映向上級(jí)單位多次發(fā)送文件均失敗。經(jīng)排查，發(fā)生故障的原因是單位新購(gòu)了一臺(tái)路由器對(duì)該網(wǎng)絡(luò)的原用路由器進(jìn)行了置換，新來的同事對(duì)缺省路由理解不深，給路由器配置了兩條缺省路由，導(dǎo)致網(wǎng)絡(luò)異常。當(dāng)在一臺(tái)路由器中僅有一條外連通信信道時(shí)，是不能配置多條缺省路由的，這不僅達(dá)不到負(fù)載均衡的作用，還會(huì)導(dǎo)致網(wǎng)絡(luò)異常。

故障現(xiàn)象

筆者單位有同事反映向上級(jí)單位多次發(fā)送文件均失敗，筆者第一時(shí)間懷疑該同事的計(jì)算機(jī)無法正常發(fā)送文件是由網(wǎng)線松脫、對(duì)應(yīng)的交換機(jī)端口出現(xiàn)故障、計(jì)算機(jī)網(wǎng)卡出現(xiàn)故障、計(jì)算機(jī)IP地址特別網(wǎng)關(guān)設(shè)置錯(cuò)誤等原因造成的。到了現(xiàn)場(chǎng)，筆者對(duì)可能的故障原因進(jìn)行了一一排除，結(jié)果故障都不是這些原因造成的，遂進(jìn)行了進(jìn)一步的通斷測(cè)試。一測(cè)試，卻得到了有點(diǎn)“奇葩”的通斷測(cè)試結(jié)果，而這些測(cè)試結(jié)果以前從來沒有遇到過。

以下是筆者做的幾項(xiàng)通斷測(cè)試（通斷測(cè)試主要使用“Ping”命令進(jìn)行測(cè)試，為測(cè)試方便，特定義本級(jí)單位計(jì)算機(jī)編號(hào)分別為B1、B2……，本級(jí)網(wǎng)關(guān)為BG，上級(jí)單位計(jì)算機(jī)編號(hào)分別為S1、S2……）。

1.從該同事的計(jì)算機(jī)B1（IP地址為36.130.20.11/22）Ping本級(jí)網(wǎng)關(guān)BG（IP地址為36.130.20.254/22），丟包率為0，通。

2.從B1計(jì)算機(jī)Ping上級(jí)文件接收計(jì)算機(jī)S1（IP地址為36.140.26.32/24）和上級(jí)其他計(jì)算機(jī)S2（IP地址為 36.140.26.34/24），丟包率為100%，不通。

3.在B1計(jì)算機(jī)上，使用“route print”命令查看本機(jī)可以外連的網(wǎng)絡(luò)信息，未查看到到達(dá)S1計(jì)算機(jī)的路由條目。

4.找其他同事的計(jì)算機(jī)B2（IP地址為36.130.20.14/22）Ping 上級(jí)計(jì)算機(jī)S1和上級(jí)其他計(jì)算機(jī)S2，丟包率為0，通。

5.從計(jì)算機(jī)B2上Ping計(jì)算機(jī)B1，丟包率為0，通。

至此，出現(xiàn)了第一個(gè)比較“奇葩”的測(cè)試結(jié)果：同一網(wǎng)段的IP地址Ping異段同一目的IP網(wǎng)址，一個(gè)丟包率為0，另一個(gè)丟包率為100%，遂又進(jìn)行了下面的測(cè)試。

6.將同事計(jì)算機(jī)B1的IP地址更換為從未使用過的IP地址（36.130.20.16/22），然后分別Ping本級(jí)網(wǎng)關(guān)BG，上級(jí)計(jì)算機(jī)S1和S2，丟包率為0，全通。

7.將其他同事計(jì)算機(jī)B2的IP地址更換為從未使用過的IP地址（36.130.20.15/22），然 后分別Ping本級(jí)網(wǎng)關(guān)BG，上級(jí)計(jì)算機(jī)S1和S2，結(jié)果可以Ping通本級(jí)網(wǎng)關(guān)BG，但Ping上級(jí)計(jì)算機(jī)S1和S2，丟包率為100%，不通。

至此，又出現(xiàn)了第二個(gè)比較“奇葩”的測(cè)試結(jié)果：從未使用過的同一網(wǎng)段IP地址Ping異段同一目的IP網(wǎng)址，一個(gè)丟包率為0，另一個(gè)丟包率為100%，測(cè)試結(jié)果如表1所示。

表1 測(cè)試結(jié)果

造成網(wǎng)絡(luò)異常的可能原因

針對(duì)測(cè)試結(jié)果，筆者首先對(duì)各網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行了檢查，均未發(fā)現(xiàn)故障。然后梳理了可能造成網(wǎng)絡(luò)異常的一些可能原因。

1.終端設(shè)置錯(cuò)誤

這主要是終端用戶對(duì)IP地址工作原理理解不清，隨意設(shè)置和更換IP地址，造成IP地址設(shè)置錯(cuò)誤，導(dǎo)致無法上網(wǎng)。還有可能是終端用戶不設(shè)置網(wǎng)關(guān)IP地址或者網(wǎng)關(guān)設(shè)置錯(cuò)誤，也是造成這種網(wǎng)絡(luò)異常現(xiàn)象的原因之一。特別是很多單位從隔離廣播風(fēng)暴和網(wǎng)絡(luò)安全考慮，會(huì)劃分很多VLAN，不同的VLAN其網(wǎng)關(guān)也不相同，有時(shí)一個(gè)辦公室可能會(huì)有多個(gè)VLAN，不同的計(jì)算機(jī)其IP地址范圍和網(wǎng)關(guān)也會(huì)不同。筆者曾遇到過同一個(gè)辦公室有三個(gè)VLAN，而其中一臺(tái)計(jì)算機(jī)設(shè)置成了其他VLAN的IP地址和網(wǎng)關(guān)，造成其無法正常上網(wǎng)。

2.防火墻原因

很多單位在連接外網(wǎng)時(shí)，都會(huì)在網(wǎng)絡(luò)入口處架設(shè)有防火墻，并根據(jù)業(yè)務(wù)和安全要求設(shè)置相應(yīng)的防火墻策略，特別是對(duì)一些類似BT、視頻、QQ、其他敏感網(wǎng)絡(luò)業(yè)務(wù)端口和敏感的IP地址進(jìn)行了過濾屏蔽。當(dāng)終端用戶使用的IP地址或業(yè)務(wù)系統(tǒng)端口被上級(jí)防火墻過濾屏蔽后，會(huì)導(dǎo)致用戶終端無法訪問該網(wǎng)絡(luò)。當(dāng)然，個(gè)人計(jì)算機(jī)的軟件防火墻也有此功能，只是很少有人會(huì)專門去設(shè)置，一般都采用默認(rèn)安全方式。

3.網(wǎng)絡(luò)設(shè)備配置錯(cuò)誤

一般外連網(wǎng)絡(luò)都需要路由器或三層交換機(jī)，如果網(wǎng)絡(luò)設(shè)備配置錯(cuò)誤，也會(huì)造成網(wǎng)絡(luò)異常，但一般網(wǎng)絡(luò)設(shè)備在配置完成后，都會(huì)進(jìn)行測(cè)試，一般不會(huì)產(chǎn)生這種“奇葩”的故障現(xiàn)象，但也不排除這種可能性。

故障排除

筆者單位為末端網(wǎng)絡(luò)節(jié)點(diǎn)，外連網(wǎng)絡(luò)結(jié)構(gòu)非常簡(jiǎn)單，對(duì)上級(jí)只有一條2M專線，使用基帶Modem進(jìn)行連接，在排除上級(jí)計(jì)算機(jī)S1未在軟件防火墻中做特殊安全設(shè)置后，遂開始了故障排除。

1.使用“ipconfig /all”命令檢查了計(jì)算機(jī)B1的IP地址和網(wǎng)關(guān)設(shè)置，發(fā)現(xiàn)計(jì)算機(jī)B1的IP地址和網(wǎng)關(guān)IP地址設(shè)置均正確。在排除故障中，這一步很關(guān)鍵，因筆者曾遇到過一臺(tái)計(jì)算機(jī)在感染病毒后，使用“本地連接→常規(guī)→詳細(xì)信息”方式查看計(jì)算機(jī)的IP地址是錯(cuò)誤的，而采用“ipconfig /all”命令方式查看IP地址和網(wǎng)關(guān)IP地址不會(huì)受病毒的影響。

2.查看了本級(jí)硬件防火墻的策略，未對(duì)計(jì)算機(jī)B1做特別限制，后又詢問上級(jí)單位防火墻的設(shè)置情況，上級(jí)網(wǎng)絡(luò)主管單位在查看了防火墻的設(shè)置反饋說，并未對(duì)計(jì)算機(jī)B1進(jìn)行特殊過濾屏蔽和隔離。

3.筆者在B1計(jì)算機(jī)使用“tracert 36.140.26.32”命令查看B1到上級(jí)S1計(jì)算機(jī)的數(shù)據(jù)轉(zhuǎn)發(fā)路徑，發(fā)現(xiàn)數(shù)據(jù)包到了本級(jí)網(wǎng)關(guān)BG后，出現(xiàn)了一條為“36.130.254.11”的目的IP地址，之后全部為“請(qǐng)求超時(shí)”，無法到達(dá)目標(biāo)網(wǎng)絡(luò)（如圖1）。

至此，筆者發(fā)現(xiàn)了問題所在，因?yàn)楸締挝粚?duì)上級(jí)的網(wǎng)間網(wǎng)地址為“36.130.254.13/30”,而不是“36.130.254.11/30”，很可能是路由器表配置錯(cuò)誤。

4.登錄路由器，進(jìn)入特權(quán)模式，使用“display current-configuration”命令查看路由器中配置的路由條目，發(fā)現(xiàn)共配置了兩條缺省路由（如圖2）。

圖1“請(qǐng)求超時(shí)”信息

圖2 查看路由器中配置的路由條目

因?yàn)楸締挝粸槟┒司W(wǎng)絡(luò)節(jié)點(diǎn)，對(duì)外只有1條通信信道，從最小消耗資源角度考慮，筆者單位的路由器只需配置1條缺省路由即可達(dá)到通信要求。缺省路由是一種特殊的靜態(tài)路由，指的是當(dāng)數(shù)據(jù)包中的目的地址與路由表中沒有相匹配的表項(xiàng)時(shí)，路由器所能做出的最后選擇。如果路由表沒有配置缺省路由，那么當(dāng)數(shù)據(jù)包中的目的地址在路由表中沒有與之相匹配的路由表項(xiàng)時(shí)，數(shù)據(jù)包就會(huì)被丟棄。一般對(duì)于末端網(wǎng)絡(luò)節(jié)點(diǎn)而言，缺省路由可以大大簡(jiǎn)化路由器的配置，減輕管理員的工作負(fù)擔(dān)，提高網(wǎng)絡(luò)性能。

但如果有兩條缺省路由時(shí)，數(shù)據(jù)包就會(huì)隨機(jī)選擇其中一條路由條目來進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，對(duì)華為路由器而言，會(huì)一直使用此條錯(cuò)誤的路由條目進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，可以看出，計(jì)算機(jī)B1不能正常進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，因?yàn)檫x擇的路由條目是不可達(dá)的“36.130.254.11”這個(gè)IP地址，導(dǎo)致數(shù)據(jù)一直不能轉(zhuǎn)發(fā)成功。

筆者使用“undo ip route-static 0.0.0.0 0.0.0.0 36.130.254.11”命令，將不正確的路由條目進(jìn)行了刪除，然后保存配置，重啟路由器，B1發(fā)送數(shù)據(jù)恢復(fù)正常，其他計(jì)算機(jī)給上級(jí)發(fā)送數(shù)據(jù)也都恢復(fù)正常，故障排除成功。

經(jīng)驗(yàn)總結(jié)

發(fā)生故障的原因，是單位新購(gòu)了一臺(tái)路由器對(duì)該網(wǎng)絡(luò)的原用路由器進(jìn)行了置換，原用路由器因使用時(shí)間過久，出現(xiàn)了無故重啟和以太網(wǎng)接口無故Shutdown的現(xiàn)象。新來的同事對(duì)缺省路由理解不深，給路由器配置了兩條缺省路由，導(dǎo)致網(wǎng)絡(luò)異常。

當(dāng)在一臺(tái)路由器中如果有多條通信信道都可以達(dá)到同一目標(biāo)網(wǎng)絡(luò)時(shí)，那么可以配置多條靜態(tài)路由來實(shí)現(xiàn)負(fù)載均衡，也可以采用缺省路由來實(shí)現(xiàn)此功能。而當(dāng)僅有1條外連通信信道時(shí)，是不能配置多條缺省路由的，這不僅達(dá)不到負(fù)載均衡的作用，還會(huì)導(dǎo)致網(wǎng)絡(luò)異常。

此外，在完成路由器的配置之后，一定要對(duì)網(wǎng)絡(luò)進(jìn)行一個(gè)全面的測(cè)試，以確保網(wǎng)絡(luò)中的所有用戶都可以正常對(duì)外連通網(wǎng)絡(luò)，而不僅僅是一臺(tái)計(jì)算機(jī)能通信正常，就以為路由器配置正確。