接入排障 · 30 分钟
单终端无法上网排障
按物理、二层、三层、服务顺序定位单终端故障并保留证据。
1. 需求与验收
一台办公终端无法上网，必须在不重启整机、不影响其他用户的前提下定位并恢复。
学习目标
- 能够解释“单终端无法上网排障”的业务目标、技术前提和影响范围。
- 能够比较四厂商关键命令差异并按计划完成配置、验证与回滚。
- 能够根据设备状态和端到端业务证据定位常见错误，而不是依赖试错。
业务验收标准
- 办公区 VLAN 10、访客区 VLAN 20 的端口、VLAN 与地址状态和规划表一致。
- 验证清单全部达到预期，且未影响范围外业务。
- 能够使用变更前证据完成回滚并恢复原业务状态。
2. 范围、风险与窗口
范围约束
- 只变更本案例需求和步骤明确列出的对象。
- 管理连接中断、合法业务失败或输出偏离预期时立即停止并回滚。
不在范围
- 运营商公网、终端操作系统和应用内部配置不在本案例范围。
维护窗口：建议预留 105 分钟，最后 15 分钟只用于验收和回滚判断。
影响：可能中断范围内业务或放宽安全边界。
缓解：执行前按设备、接口、VLAN/前缀和方向四项交叉核对。
影响：交付后仍可能存在回程、策略或故障切换问题。
缓解：同时执行配置、协议/表项和业务正反例验收。
3. 现网与目标拓扑
现网状态
当前状态尚未满足“一台办公终端无法上网，必须在不重启整机、不影响其他用户的前提下定位并恢复。”；实施前必须用本案例前检命令记录真实设备、接口、协议和业务基线。
目标拓扑
4. 设备与接口
| 设备 | 接口 | 对端 | 用途 | 类型 |
|---|---|---|---|---|
| Access-SW1 | GE0/0/1 | Client-1 Ethernet0 | 业务终端接入与正反例测试 | Access |
| Access-SW1 | GE0/0/24 | Core-SW1 GE0/0/24 | 接入到核心的受控上联 | Trunk |
5. VLAN 与 IP 规划
| 区域 | VLAN | 网段 | 网关 |
|---|---|---|---|
| 办公网 | 10 | 10.10.10.0/24 | 10.10.10.1 |
6. 实施前检查
- 确认设备型号、软件版本、当前提示符和带外路径。
- 导出当前配置并采集相关接口、表项、协议和日志。
- 从真实终端保存变更前允许与禁止业务结果。
7. 实施步骤
- 确认范围并冻结基线
核对需求“一台办公终端无法上网，必须在不重启整机、不影响其他用户的前提下定位并恢复。”，采集设备、接口、配置、协议和业务现状，确认维护窗口、停止条件及带外路径。
- 查看接口状态与错误计数
查看全局接口摘要和指定接口详情，能够区分管理关闭、物理断链和存在错误报文的不同状态。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 查看 MAC 地址表
读取完整 MAC 地址表和动态表项，能够根据 VLAN 与接口定位终端实际接入位置。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 查看与清理 ARP 表
查询网关或终端的 ARP 映射，核对接口和 MAC；必要时清理动态缓存并验证重新学习。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 使用 Ping 验证连通性
从交换机测试网关 192.168.10.1 的可达性，记录成功率和时延，并明确 Ping 不能替代业务端口验证。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 跟踪三层转发路径
跟踪到远端主机 10.20.0.10 的路径，记录每一跳地址，并与路由设计和回程路径对照。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 执行正反例和回滚演练
按案例验收项分别证明允许业务成功、禁止业务被拒绝；触发停止条件时只撤销本案例对象，并重复原测试。
- 提交证据并交接
提交实际配置差异、验证输出、故障记录、回滚结果和遗留风险，由实施人与审核人分别签字。
8. 四厂商配置
华为 · Access-SW1
VRP · V200R019 及以上
display interface brief display interface GigabitEthernet 0/0/1 display mac-address display mac-address dynamic display arp reset arp dynamic ping 192.168.10.1 tracert 10.20.0.10
华三 · Access-SW1
Comware · 7.1 及以上
display interface brief display interface GigabitEthernet 1/0/1 display mac-address display mac-address dynamic display arp reset arp dynamic ping 192.168.10.1 tracert 10.20.0.10
思科 · Access-SW1
IOS · 15.2 及以上
show interfaces status show interfaces GigabitEthernet0/1 show mac address-table show mac address-table dynamic show ip arp clear arp-cache ping 192.168.10.1 traceroute 10.20.0.10
锐捷 · Access-SW1
RGOS · 11.x 及以上
show interfaces status show interfaces GigabitEthernet 0/1 show mac address-table show mac address-table dynamic show ip arp clear arp-cache ping 192.168.10.1 traceroute 10.20.0.10
9. 验证与验收
display interface GigabitEthernet 0/0/1确认物理与协议状态符合预期，并记录错误计数是否继续增长。
display mac-address确认目标 MAC 对应正确 VLAN 和入接口，并观察表项类型。
display arp生成目标流量后确认正确 IP、MAC 和接口重新学习。
display ip routing-table 192.168.10.1Ping 失败时先确认设备存在到目标的有效路由。
display ip routing-table 10.20.0.10把第一跳和出接口与本地路由表匹配结果对照。
10. 故障定位
接口被管理关闭，链路和上层协议均不能建立。；确认变更许可后进入接口视图执行 undo shutdown，并继续检查对端状态。
交换机只能在 VLAN 内泛洪未知单播，无法直接确认终端接入位置。；让终端产生流量后重新查询，并确认接口、VLAN 和链路状态正常。
设备会集中重新解析大量邻居，短时增加广播并导致首包延迟。；优先清理单个异常条目，整表操作放在维护窗口并监控 CPU 和广播。
可能忽略 ICMP 被策略过滤、源地址错误或回程路由缺失。；结合 ARP、路由、ACL、源地址和业务端口测试继续判断。
该节点可能只是不响应探测报文，不代表实际转发中断。；结合最终结果、路由表和业务测试判断，不以单个超时节点直接定责。
11. 回滚方法
华为
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作）
华三
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作）
思科
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作）
锐捷
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作） 无需回滚（只读操作）
12. 交付物
- 变更前基线、需求与影响范围确认记录。
- 实际配置差异及配置、协议/表项、业务三层验证证据。
- 异常、停止、回滚和复测记录，以及交接后的责任人与巡检项。