網(wǎng)絡(luò)環(huán)境

最近，筆者單位網(wǎng)絡(luò)接入市里協(xié)同大平臺(tái)系統(tǒng)，為避免為每個(gè)學(xué)校另外拉一根光纖（各學(xué)校都已通過裸光纖接入教育城域網(wǎng)），教育局準(zhǔn)備將協(xié)同平臺(tái)接入光纖放入教育城域網(wǎng)中心機(jī)房，學(xué)校統(tǒng)一通過教育城域網(wǎng)中心機(jī)房接入?yún)f(xié)同平臺(tái)，既節(jié)約費(fèi)用，也便于教育局統(tǒng)一管理。網(wǎng)絡(luò)結(jié)構(gòu)如圖1所示。

各學(xué)校通過光纖接入綿竹教育城域網(wǎng)中心機(jī)房，再經(jīng)過思科防火墻ASA5540上因特網(wǎng)（拓?fù)鋱D左邊那條線路）。如果各學(xué)校要訪問外網(wǎng)，通過華為Eudemon 200訪問（拓?fù)鋱D右邊那條線路）。

圖1 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

網(wǎng)絡(luò)配置

筆者接到任務(wù)時(shí)，覺得不難，這就是一個(gè)雙線接入的配置，是很容易實(shí)現(xiàn)的。置外網(wǎng)分配的IP地址）

故障現(xiàn)象

配置好核心交換機(jī)華為9306和華為Eudemon 200后，卻發(fā)現(xiàn)10.5.x1.xxx和59.213.x3.xxx這兩個(gè)IP不能訪問，其他4個(gè)IP都能夠訪問。怎么會(huì)有兩個(gè)不能訪問呢？要么就是全部可以訪問，要么就是都不能訪問??！

難道是這兩個(gè)IP有問題？馬上打電話確認(rèn)，教育局那邊說，就是訪問不了這兩個(gè)地址（注：教育局另外放了一根外網(wǎng)光纖，能夠訪問外網(wǎng)）。筆者放心了，原來(lái)和我的配置沒有多大關(guān)系，就沒有放在心上。第二天到教育局辦事，教育局工作人員反映，通過教育城域網(wǎng)不能訪問外網(wǎng)。

筆者當(dāng)時(shí)覺得不可思議，馬上試驗(yàn)了一下，結(jié)果，6個(gè)IP地址，只有10.5.x1.xxx不能訪問，而這個(gè)IP是必須用的（這個(gè)IP是政務(wù)外網(wǎng)首頁(yè)）。當(dāng)時(shí)的第一個(gè)反應(yīng)是，這個(gè)地址的服務(wù)器沒有開機(jī)，結(jié)果用另一根光纖訪問，是能夠訪問的。

教育局的工作人員提醒我說，這些接入政務(wù)網(wǎng)的光纖都有固定的IP，對(duì)IP都是有限制的。我一聽，馬上聯(lián)系放光纖的移動(dòng)公司，結(jié)果移動(dòng)公司說，沒有限制，其他單位也用這種方式接入，沒有問題。當(dāng)聽我說用防火墻接入時(shí)，移動(dòng)公司建議我用路由器，說防火墻接入有時(shí)就是會(huì)出一些問題，還舉了一些例子。

下午到教育城域網(wǎng)中心機(jī)房，首先梳理了一下故障排除步驟：

1.筆記本單獨(dú)接光纖能否訪問政務(wù)外網(wǎng)。

2.筆記本直接接入防火墻能否訪問外網(wǎng)（防火墻不接入教育城域網(wǎng)）。

3.換一臺(tái)路由器試一試。

通過這三步判斷故障到底出在哪里。

實(shí)驗(yàn)的最終結(jié)果是：筆記本單獨(dú)接光纖一點(diǎn)問題也沒 有，10.5.x1.xxx能 夠 訪問；筆記本接入防火墻也能訪問；換了一臺(tái)路由器（華為2621）故障情況也一樣。

這個(gè)問題困擾了我好幾天，也咨詢了很多人。有的說是防火墻軟件版本的問題，有的說是機(jī)器軟硬件配合問題等，我甚至在考慮是否是NAT轉(zhuǎn)換的原因：10.5.x1.xxx是私有地址，教育城域網(wǎng)也是私有地址，防火墻（路由器）就不NAT轉(zhuǎn)換了，所以不能訪問。

故障解決

問題的最終解決是在一次無(wú)意試驗(yàn)之中。一次，我將防火墻接核心交換機(jī)端口的網(wǎng)線拔了，通過Console口登錄防火墻，在防火墻上ping 10.5.x1.xxx能 通，但只要一接入核心交換機(jī)，ping 10.5.x1.xxx就不通了。我突然反應(yīng)過來(lái)，難道是路由出了問題？

仔細(xì)檢查防火墻Eudemon 200的 路 由，路由只有兩條：默認(rèn)路由：ip route-static 0.0.0.0 0.0.0.0 10.76.x2.xxx；回指 路 由 ：ip route-static 10.0.0.0 255.0.0.0 192.168.200.245。 這 兩條路由中，默認(rèn)路由肯定沒有問題，那么就是回指路由錯(cuò)了。馬上刪除了這條路由，添加新的路由（我所在的網(wǎng)段）：ip rout 10.1.11.0 255.255.255.0 192.168.200.245，再ping 10.5.x1.xxx，結(jié)果一下就通了，也能訪問了，至此，問題得到圓滿解決。

故障分析

事后，我分析了一下原因。為什么回指路由ip route-static 10.0.0.0 255.0.0.0 192.168.200.245這條路由不行，而ip rout 10.1.11.0 255.255.255.0 192.168.200.245能 行 呢？原因就在于，當(dāng)用戶訪問10.5.x1.xxx時(shí)，IP數(shù)據(jù)經(jīng)過防火墻Eudemon 200轉(zhuǎn)發(fā)，這時(shí)防火墻Eudemon 200使用的路由是ip routestatic 10.0.0.0 255.0.0.0 192.168.200.245（此 時(shí)10.5.x1.xxx這個(gè)IP包含在回指路由中），沒有使用默認(rèn)路由ip route-static 0.0.0.0 0.0.0.0 10.76.x2.xxx，所以導(dǎo)致不能訪問10.5.x1.xxx。當(dāng)把回指路由更改為ip route-static 10.1.11.0 255.255.255.0 192.168.200.245時(shí)，由于防火墻Eudemon 200在路由表中無(wú)法找到其他路由（此時(shí)10.5.x1.xxx這個(gè)IP不在回指路由中），這時(shí)就走默認(rèn)路由ip route-static 0.0.0.0 0.0.0.0 10.76.x2.xxx，也就能夠訪問10.5.x1.xxx了。

這就是出現(xiàn)此類問題的原因所在，也就是說，回指路由中一定不能包含要訪問的IP，否則不能訪問。那么就有人說，調(diào)低回指路由的優(yōu)先級(jí)，如ip route-static 10.0.0.0 255.0.0.0 1 9 2.1 6 8.2 0 0.2 4 5 preference 70，我也試過，不行，只能這樣解決。

經(jīng)驗(yàn)總結(jié)

通過此次故障排查，總結(jié)如下：

1.首先確保接入的線路能正常使用（單獨(dú)接電腦確認(rèn)）。

2.配置好防火墻（路由器），確認(rèn)能否訪問（不接入內(nèi)部網(wǎng)絡(luò)）。

3.接入內(nèi)部網(wǎng)絡(luò)，再確認(rèn)能否正常訪問。

通過此三步，將有效定位故障位置，快速排除故障。

附：華為Eudemon 200配置（主要配置）：