絡設備安裝與調試指南：VLAN規(guī)劃、鏈路聚合與驗收排查)
1. 先想清楚一次靠譜的網(wǎng)絡設備上架到底包含哪些活“網(wǎng)絡設備安裝與調試”這八個字很多人第一反應是插上電、連上網(wǎng)線、進后臺點幾下就完事。我在實際項目里見過太多這樣的場景機柜門一關燈是綠的用戶也說能上網(wǎng)結果三個月后業(yè)務一擴加一臺服務器就開始丟包一查發(fā)現(xiàn)當初的地址池只規(guī)劃了半個C段VLAN全堆在一個廣播域里鏈路是一條單線跑滿。這類問題的根源幾乎都不在調試那一步而在于一開工就沒有把“安裝與調試”當成一個完整的工程來做。我理解的網(wǎng)絡設備安裝與調試是把一堆散裝硬件通過物理安裝、線纜敷設、地址與策略規(guī)劃、設備參數(shù)配置、分段驗證這一整套動作變成一張可管理、可擴展、可排查的網(wǎng)絡。涉及的設備通常包括接入交換機、核心或匯聚交換機、路由器或防火墻、無線控制器與AP、光模塊與配套的機柜供電。它解決的核心問題是讓數(shù)據(jù)在正確的路徑上、以穩(wěn)定的速率、按預期的權限流動并且在出問題時能被快速定位。這套活兒適合誰看剛入行的網(wǎng)絡運維、做弱電集成的工程人員、中小企業(yè)的IT兼崗、以及準備自己動手搭一套辦公網(wǎng)的技術負責人都能從下面這些細節(jié)里挑到能直接用的東西。我特別反感一種做法把調試當成“試出來”。改一個參數(shù)ping一下通了就收工不通再改回來。這種工作方式在設備少的時候看著效率高設備一多就會變成災難因為你根本不知道是哪個變量起了作用。所以后面我寫的所有內(nèi)容都建立在一個前提上——先有規(guī)劃再有配置最后有驗證。這三步的順序顛倒返工成本至少翻三倍。2. 開工前的功課現(xiàn)場勘察與規(guī)劃表2.1 機柜、供電與散熱的現(xiàn)場確認清單設備還沒到貨我就得先去現(xiàn)場看一遍。這一步很多新人會跳過覺得“機柜不就在那兒嗎”結果設備上架當天才發(fā)現(xiàn)機柜深度只有600mm而交換機的走線空間需要800mm或者機柜里只有一個8位PDUPoE交換機加AP的功耗直接頂?shù)缴舷蕖，F(xiàn)場勘察我一般按下面這幾項過一遍每項都寫進記錄里不到現(xiàn)場絕不憑想象畫圖。勘察項具體確認內(nèi)容不確認的后果機柜尺寸深度、寬度、可用U位、前后開門方向設備裝不進或無法走線供電PDU位數(shù)、插座制式、是否雙路、UPS容量PoE滿載跳閘、斷電無保護散熱進出風方向、空調出風位置、機柜風扇夏季高溫導致設備降頻重啟接地機柜接地排、接地線徑雷擊與靜電風險故障率上升布線通道橋架走向、穿墻孔位、弱電井位置線纜長度超標、施工返工這里面最容易被忽視的是風道方向。接入交換機一般是前后風道或者側進側出如果機柜里同時裝了服務器服務器的熱風正好吹到交換機的進風口夏天機房溫度一上來交換機風扇就會長期高轉速壽命明顯縮短。我遇到過一次一整柜的接入交換機在七八月份頻繁掉線最后查出來不是設備問題是機柜前后裝反了熱風在柜內(nèi)循環(huán)。供電這塊我習慣留余量。PoE交換機的功率預算不是把所有AP的標稱功耗加起來就完事要乘以一個冗余系數(shù)。經(jīng)驗算法是PoE總預算 ≥單臺AP峰值功耗 × AP數(shù)量 攝像頭數(shù)量 × 單臺峰值功耗× 1.3比如20臺AP單臺峰值12W8臺攝像頭單臺峰值8W那么總需求約為 (240 64) × 1.3 ≈ 395W。選一臺370W PoE預算的交換機就不夠了得上更大預算的型號或者把負載拆到兩臺設備上。這個計算在采購階段就要做等設備上架了才發(fā)現(xiàn)功率不夠只能加一臺PoE注入器現(xiàn)場難看還多一個故障點。2.2 IP地址與VLAN規(guī)劃一張表定生死我見過的最省事也最坑人的規(guī)劃就是全網(wǎng)一個192.168.1.0/24。省事是因為不用想坑人是因為一旦有設備發(fā)廣播風暴全公司一起斷。規(guī)劃這件事我建議在Excel里拉一張表把所有VLAN、網(wǎng)段、網(wǎng)關位置、DHCP由誰發(fā)、用途寫清楚這張表以后就是排查問題的地圖。下面這種粒度是我認為夠用的VLAN ID名稱網(wǎng)段網(wǎng)關設備用途備注10MGMT10.10.10.0/24核心交換機設備帶外管理禁止業(yè)務終端接入20OFFICE10.10.20.0/23核心交換機辦公終端約500個地址30VOICE10.10.30.0/24核心交換機IP電話走語音優(yōu)先隊列40WIFI-GUEST10.10.40.0/24防火墻訪客無線隔離僅出外網(wǎng)50SERVER10.10.50.0/24核心交換機內(nèi)部服務器單獨ACL管控60CAMERA10.10.60.0/24核心交換機視頻監(jiān)控大流量單獨收斂99TRANSIT10.10.99.0/30—三層互聯(lián)點對點掩碼30規(guī)劃里有幾個原則我基本不會破管理網(wǎng)段必須獨立。管理VLAN和業(yè)務VLAN混在一起等于把設備的console口掛在公網(wǎng)上一個終端中毒就可能掃到交換機管理地址。網(wǎng)關統(tǒng)一下沉到核心或匯聚。接入交換機只做二層網(wǎng)關不分散。這樣跨VLAN流量路徑清晰ACL也只需要在少數(shù)幾臺設備上維護。預留擴容空間。辦公網(wǎng)段用/23而不是/24就是因為終端增長永遠比你預估的快。等到地址耗盡再去改掩碼涉及改網(wǎng)關、改DHCP、改靜態(tài)配置是典型的半夜加班活。點對點互聯(lián)用/30。兩個設備之間只需要兩個可用地址用/24是浪費也是隱患容易被誤配。這張表做完設備怎么配基本就定了。我一直覺得規(guī)劃階段多花兩小時調試階段能省兩天。3. 硬件安裝看起來最沒技術含量翻車最多3.1 上架、理線與標簽的三條硬規(guī)矩硬件安裝這塊技術門檻確實不高但它是整個網(wǎng)絡穩(wěn)定性的地基。我總結下來有三條規(guī)矩違反了遲早出問題。第一條設備上架必須留出散熱和維護空間。交換機之間不要緊貼著堆尤其是高密度接入交換機U位之間留半U到1U的空隙熱量才有地方散。上架螺絲四顆都要擰我見過只擰前面兩顆的設備后部下沉光模塊插拔的時候整臺機器都在晃時間長了端口虛焊。第二條光纖的彎曲半徑不能小于30mm。這條是硬指標不是建議。光纖盤纖的時候要順著自然弧度走不能硬折成直角也不能用扎帶勒死。我見過一個機柜光纖被理線帶捆成一束垂下來看著特別整齊結果三個月后一條萬兆鏈路開始丟包光功率測試發(fā)現(xiàn)收光值比出廠時低了2dB拆開一看光纖在綁扎處被壓出了一個肉眼幾乎看不見的彎。光纖這東西寧可看著亂一點也不能過度受力。第三條兩端都要有標簽而且標簽要能看懂。常見的錯誤是只在一端貼標簽或者標簽寫“交換機1口”這種沒有意義的信息。我的習慣是標簽格式統(tǒng)一成“對端設備-對端端口-本端端口”比如CORE01-Gi0/1-ACC05-Gi0/24。這樣在配線架旁邊一看就知道這根線通向哪里排查的時候不用順著線爬。提示網(wǎng)線長度同樣有硬限制銅纜信道總長度不超過100米其中水平布線不超過90米兩端跳線各留5米。超過這個距離千兆可能勉強能通但誤碼率會上升表現(xiàn)為“能用但偶爾卡”。這種情況用測線儀測通斷是測不出來的必須用認證測試儀測衰減和串擾。3.2 光模塊與網(wǎng)線的實操細節(jié)光模塊這塊坑主要集中在匹配和清潔上。單模模塊配單模跳線多模配多模這個基本常識大家都有。但實際現(xiàn)場經(jīng)常出現(xiàn)的問題是收發(fā)方向搞反。一對光模塊一端的TX要接對端的RX交叉連接。很多跳線是雙芯的出廠時已經(jīng)做好交叉但如果是自己壓的或者用單芯跳線就要格外注意。判斷方法很簡單插上之后端口燈不亮把兩根纖對調一下試試大概率就通了。清潔這件事必須單獨說。光模塊端面和光纖接頭被手指碰一下或者放在口袋里帶上來端面就有一層油污肉眼看不見但收光功率會直接掉幾個dB。我的做法是隨身帶一盒無塵棉簽和專用清潔筆每根光纖插之前都擦一遍插上之后用光功率計讀一下收光值和模塊的接收靈敏度范圍對一下。比如一個典型的長距單模模塊接收范圍可能是-3dBm到-20dBm實測如果是-2dBm說明太強可能要加衰減器如果是-22dBm就已經(jīng)在臨界值附近鏈路不可靠。網(wǎng)線這邊除了長度還有一個高頻錯誤是線序?，F(xiàn)在基本都是直通線兩端都按T568B打這個沒錯。但做水晶頭的時候壓線鉗沒壓到底或者線芯沒頂?shù)剿ь^前端就會形成接觸不良。表現(xiàn)是鏈路時通時斷或者速率協(xié)商不到千兆。我現(xiàn)場驗收會看交換機的端口錯包統(tǒng)計如果某個口的CRC錯誤計數(shù)在持續(xù)增長第一個懷疑對象就是這根網(wǎng)線和水晶頭。4. 設備調試從帶外登錄到業(yè)務打通4.1 初始配置與帶外管理的正確打開方式新設備開箱第一件事不是插網(wǎng)線是接Console線。這個順序很重要因為新設備的管理地址是未知的有的出廠還開著DHCP客戶端接上網(wǎng)絡可能會拿到一個莫名其妙的地址或者更糟和現(xiàn)網(wǎng)設備地址沖突。用Console線本地登錄波特率一般是96008位數(shù)據(jù)位無校驗1位停止位這個參數(shù)記不住就查手冊別亂試。登錄進去之后我一般按這個順序走一遍修改默認管理員賬號和密碼密碼長度和復雜度按規(guī)范來不要用設備型號當密碼。配置設備名稱、時區(qū)、NTP。NTP這件事一定要做日志時間戳不準出故障的時候你連“先發(fā)生什么后發(fā)生什么”都判斷不了。配置管理VLAN和帶外管理地址。管理地址只允許管理網(wǎng)段訪問這一點通過ACL或者管理接口的訪問控制實現(xiàn)。關閉不用的端口或者劃到一個隔離VLAN里?？斩丝陂_著有人插一根線進來就是一個未經(jīng)授權的接入點。保存配置。這一步看著廢話但我真的見過調試完忘了保存一斷電全部回到出廠設置的。帶外管理的意思是即使業(yè)務網(wǎng)絡全掛了你還能從一條獨立通道登進設備。對于核心設備我一般會額外配一個管理口接獨立的交換機或者至少保證管理VLAN的網(wǎng)關不依賴于這臺設備本身。有一次核心交換機因為配置錯誤導致CPU打滿SSH完全登不進去最后是靠Console線現(xiàn)場救回來的那次之后我所有的核心設備都留了帶外通道。下面是一段典型的基礎配置片段命令風格按通用CLI寫具體語法各家有差異但邏輯是一致的# 基礎信息 hostname ACC05 clock timezone CST 8 ntp-service unicast-server 10.10.10.5 # 管理VLAN與地址 vlan 10 description MGMT interface Vlanif10 ip address 10.10.10.25 255.255.255.0 # 管理訪問控制只允許管理網(wǎng)段 acl number 2000 rule 5 permit source 10.10.10.0 0.0.0.255 rule 10 deny user-interface vty 0 4 acl 2000 inbound authentication-mode aaa # 未使用端口隔離 interface GigabitEthernet0/0/1 shutdown4.2 VLAN、Trunk與鏈路聚合的配置要點VLAN劃分本身不難難的是Trunk鏈路的細節(jié)。接入交換機上聯(lián)到匯聚這條鏈路是Trunk要放行哪些VLAN、PVID設成什么這幾個參數(shù)必須和規(guī)劃表嚴格對應。我先說允許列表。Trunk口默認可能放行所有VLAN這在實驗室里方便在生產(chǎn)環(huán)境里是隱患。正確做法是只放行這臺接入交換機實際需要的VLAN。比如一臺接入交換機只接辦公終端和IP電話那就只放行VLAN 20和30其他一律剪掉。這樣做的好處是即使別的VLAN出了問題廣播也不會順著Trunk擴散過來。再說PVID。PVID決定了不帶標簽的幀進入Trunk口時歸到哪個VLAN。很多設備默認PVID是VLAN 1而VLAN 1通常又被當作管理VLAN這就埋了一個雷如果某臺設備誤發(fā)了不帶標簽的幀它會直接進入管理VLAN。我的做法是把Trunk口的PVID改成一個不用的VLAN或者顯式地把native VLAN隔離掉。鏈路聚合是提升帶寬和冗余的常用手段兩條千兆捆成一條邏輯鏈路既擴容又防單點故障。配置上有兩種模式靜態(tài)聚合和動態(tài)聚合LACP。我的選擇是聚合模式適用場景優(yōu)點風險靜態(tài)聚合對端是服務器或舊設備不支持LACP配置簡單兼容性好一端配置錯誤時容易形成環(huán)路動態(tài)LACP交換機之間互聯(lián)能協(xié)商檢測一端故障自動剔除配置稍復雜需兩端都開啟交換機之間互聯(lián)我基本都用LACP。配置時要注意聚合組內(nèi)所有成員口的速率、雙工、VLAN配置必須完全一致否則成員口可能無法加入聚合組。還有一個細節(jié)是負載均衡算法默認的哈希方式可能是基于源MAC這樣單個大流量會話還是會跑在一條成員鏈路上。如果下游有存儲或者視頻流這類大流量單會話業(yè)務要把哈希算法改成基于源目IP或者源目IP加端口的組合才能真正把流量分散開。# 動態(tài)鏈路聚合示例 interface Eth-Trunk1 mode lacp-static port link-type trunk port trunk allow-pass vlan 20 30 load-balance src-dst-ip interface GigabitEthernet0/0/23 eth-trunk 1 interface GigabitEthernet0/0/24 eth-trunk 14.3 路由、DHCP與安全策略的落地三層打通是調試階段最核心的環(huán)節(jié)。核心交換機上有各個VLAN的網(wǎng)關VLAN之間默認是通的但實際業(yè)務往往需要管控。比如訪客VLAN不能訪問服務器VLAN監(jiān)控VLAN只需要被指定的終端訪問。這些通過ACL在網(wǎng)關接口上做方向性過濾。ACL這東西寫錯了比不寫更危險。我見過一條規(guī)則寫成permit ip any any本意是先放行再收緊結果順序沒排好把所有限制都架空了。寫ACL的原則是先具體后寬泛最后一條必須deny而且寫完要在設備上看一下命中計數(shù)確認規(guī)則真的在生效而不是只存在于配置里。DHCP的配置同樣有講究。地址池要和VLAN網(wǎng)段對應網(wǎng)關和DNS要寫對排除地址要把靜態(tài)配置的設備避開。如果是無線AP通過DHCP獲取地址還要配置option 43告訴AP控制器的地址這一步漏了AP就會一直卡在“正在獲取IP”狀態(tài)。# DHCP地址池示例 ip pool OFFICE network 10.10.20.0 mask 255.255.254.0 gateway-list 10.10.20.1 dns-list 10.10.10.5 10.10.10.6 excluded-ip-address 10.10.20.1 10.10.20.10 lease day 7 # 訪客VLAN隔離示例 acl number 3000 rule 5 deny ip source 10.10.40.0 0.0.0.255 destination 10.10.50.0 0.0.0.255 rule 10 deny ip source 10.10.40.0 0.0.0.255 destination 10.10.20.0 0.0.1.255 rule 15 permit ip source 10.10.40.0 0.0.0.255 rule 20 deny ip interface Vlanif40 traffic-filter inbound acl 3000配置完這些不要急著宣布完工。我一般會先在一個VLAN里找兩臺終端互ping再從訪客VLAN去ping服務器VLAN確認該通的通、該斷的斷。這種“正反都測”的習慣能提前發(fā)現(xiàn)大部分ACL方向寫反的問題。4.4 無線部分的調試別當成附屬品無線現(xiàn)在幾乎是辦公網(wǎng)的標配但很多項目把它當附屬品最后配完有線就完事無線體驗一塌糊涂。無線調試的核心其實是兩件事信道規(guī)劃和功率控制。2.4G頻段只有1、6、11三個互不重疊的信道AP一密集就容易同頻干擾。我的做法是先把2.4G的AP數(shù)量控制住能上5G的終端盡量引導到5G。5G頻段信道多但要避開雷達信道DFS尤其是在某些區(qū)域AP檢測到雷達信號會自動切信道造成短暫斷連。室內(nèi)辦公場景我一般優(yōu)先選非DFS信道。功率方面很多人把AP功率開到最大覺得信號強就是好。實際上功率越大覆蓋重疊越多終端在AP之間“粘”著不漫游走到另一個區(qū)域信號已經(jīng)很弱了還不斷開體驗反而差。正確做法是把功率調到一個適中值讓相鄰AP的覆蓋有適度重疊同時開啟漫游相關的門限參數(shù)讓終端在信號變?nèi)鯐r主動切換。AP上線之后我會拿手機走一圈重點測三個位置AP正下方、兩個AP交界處、最遠的角落。交界處的漫游切換如果用著用著斷一下多半是功率或者漫游門限沒調好這個只能靠現(xiàn)場實測看圖紙是看不出來的。5. 驗收與交付怎么證明這套網(wǎng)真的穩(wěn)5.1 分段驗證法從物理層一路打到應用層設備調完我從不直接說“好了”。網(wǎng)絡這東西配置不報錯不代表業(yè)務正常必須一層一層驗證上去。我習慣按下面的順序走哪一層出問題就停在哪一層排查不跳步。驗證層級驗證方法判斷標準物理層查看端口狀態(tài)、光功率、錯包計數(shù)端口UP收光在范圍內(nèi)錯包不增長鏈路層查看MAC地址表、VLAN信息MAC學習正常VLAN劃分正確網(wǎng)絡層ping網(wǎng)關、ping跨網(wǎng)段地址通且延遲穩(wěn)定不丟包傳輸層大包不分片ping、帶寬打流測試1472字節(jié)以上不丟包帶寬接近線速應用層實際業(yè)務訪問、無線漫游測試業(yè)務可用漫游無感知斷連這里面我最看重的是大包測試。普通的ping默認32字節(jié)只能證明鏈路通證明不了鏈路好。用ping -l 1472 -f這種不分片的大包去打能暴露MTU不匹配、鏈路質量差的問題。如果小包通大包不通八成是MTU或者分片配置的問題如果大包丟包率高那就要回去看物理層和錯包統(tǒng)計了。帶寬測試我會用打流工具在兩臺終端之間跑一下看看實際吞吐能不能接近鏈路標稱值。千兆鏈路實測跑到900Mbps以上算正常如果只有三四百兆可能是有其他流量干擾也可能是雙工協(xié)商有問題或者鏈路聚合沒生效。5.2 配置備份與文檔交付這一步很多工程人員會省但它決定了這套網(wǎng)以后好不好維護。我的交付清單里固定包含三樣東西配置文件、拓撲圖、地址與端口對照表。配置文件每臺設備導出一份文件名帶日期比如ACC05_20240612.cfg。不要只存在設備里設備壞了配置就沒了。我會在本地留一份再放一份到內(nèi)部的文檔系統(tǒng)里。配置變更之后及時更新備份這一點在多人維護的環(huán)境里尤其重要否則回滾的時候你會發(fā)現(xiàn)備份是三個月前的。拓撲圖不用畫得多精美但必須準確標清楚設備之間的連接關系、鏈路聚合、VLAN網(wǎng)關位置。地址與端口對照表就是前面那張規(guī)劃表的最終版調試過程中如果有調整一定要同步更新別讓文檔和現(xiàn)實兩張皮。注意交付文檔里不要寫明文密碼。密碼可以單獨走密碼管理流程文檔里只寫賬號和用途。這一點在小團隊里經(jīng)常被忽略一個Excel表格傳來傳去最后誰都知道核心設備的密碼。6. 常見問題與排查技巧實錄6.1 物理層與鏈路層的高頻坑網(wǎng)絡故障里我統(tǒng)計下來至少一半出在物理層和鏈路層而且這類問題最容易被誤判成“設備壞了”。下面這幾個是我遇到頻率最高的。端口頻繁up/down。先看是不是網(wǎng)線或水晶頭問題換一根已知好的線試試再看是不是雙工協(xié)商不一致一端強制全雙工一端自協(xié)商就會出現(xiàn)這種抖動。我的習慣是兩端都設成自協(xié)商除非有特殊需求不手工強制速率。某個VLAN內(nèi)終端互相不通但都能上網(wǎng)關。這種情況八成是接入交換機的端口VLAN劃分不一致或者Trunk沒放行這個VLAN。查一下MAC地址表看終端的MAC有沒有學到正確的端口和VLAN里。全網(wǎng)變慢CPU占用高。第一反應是環(huán)路。檢查有沒有人私接了兩根線到同一個交換機或者把兩個墻面口用一根網(wǎng)線連起來了。環(huán)路的表現(xiàn)是MAC地址表頻繁漂移、廣播包暴漲、設備CPU飆升。應急處理是把懷疑的端口先shutdown再逐步恢復定位。預防手段是在接入端口上開啟環(huán)路檢測和BPDU保護邊緣端口收到BPDU就自動關閉。光鏈路時通時斷。先測收光功率再看光模塊的型號和距離是否匹配。多模光纖跑長距離、或者用錯波長都會導致鏈路不穩(wěn)定。還有一種是光纖接頭臟了這個前面說過清潔之后往往立竿見影。6.2 網(wǎng)絡層與業(yè)務層的排查套路到了網(wǎng)絡層排查就要講方法了。我的習慣是從近到遠、從自身到對端一層層縮小范圍。終端上不了網(wǎng)先看它有沒有拿到IP。ipconfig /all一看如果是169.254開頭的地址說明DHCP沒拿到問題在DHCP或者鏈路。如果拿到了地址但ping不通網(wǎng)關查VLAN和網(wǎng)關配置。如果ping得通網(wǎng)關但上不了外網(wǎng)查路由和NAT。DNS問題是最容易被誤判的。用戶說“網(wǎng)斷了”實際是網(wǎng)頁打不開但QQ能發(fā)消息。這種情況基本是DNS解析失敗不是網(wǎng)絡不通。讓用戶直接ping一個公網(wǎng)IP地址能通就說明鏈路沒問題問題在DNS服務器或者終端DNS配置?？缇W(wǎng)段訪問慢但同網(wǎng)段正常。這種要看路由路徑和ACL。有時候是流量繞了一大圈本來應該在三層直連的結果走了一條低帶寬的鏈路。用tracert看一下路徑問題一目了然。無線終端頻繁掉線尤其是在移動過程中。除了前面說的功率和漫游門限還要看是不是終端本身在2.4G和5G之間反復切換或者AP的接入數(shù)超了上限。這些在控制器的日志里都能看到。6.3 排查速查表現(xiàn)場排查的時候腦子容易亂我整理了一張順序表按這個走基本不會漏現(xiàn)象優(yōu)先檢查常用命令/手段端口燈不亮網(wǎng)線、光模塊、對端端口換線、換模塊、看端口狀態(tài)端口燈亮但不通VLAN劃分、端口shutdown查MAC表、查端口配置拿到169.254地址DHCP服務、鏈路可達性查DHCP池、查中繼配置能ping通IP不能開網(wǎng)頁DNS配置nslookup、換DNS測試跨網(wǎng)段不通網(wǎng)關、路由、ACLtracert、查路由表、查ACL命中全網(wǎng)慢、丟包環(huán)路、廣播風暴、帶寬打滿查MAC漂移、查端口流量無線信號強但慢同頻干擾、終端數(shù)過多改信道、降功率、看AP負載大包不通小包通MTU、分片大包ping測試、查接口MTU這張表不是萬能的但它能保證你在慌亂的時候有個抓手不至于東一榔頭西一棒子。7. 幾條踩出來的經(jīng)驗給準備動手的人設備裝完調試完我最想說的是網(wǎng)絡工程里真正值錢的東西不是配置命令而是對“為什么會這樣”的理解。命令可以查手冊但為什么這個VLAN要單獨劃、為什么這條鏈路要做聚合、為什么這個口要設成邊緣端口這些判斷才決定了這張網(wǎng)半年后是不是還穩(wěn)。我踩過最貴的一個坑是在一個辦公項目里圖省事把管理VLAN和辦公VLAN放在同一個網(wǎng)段。當時覺得省一個網(wǎng)段而已結果半年后一臺終端中了招瘋狂掃描內(nèi)網(wǎng)把交換機的管理地址也掃了個遍登錄日志爆滿差點鎖死。后來改規(guī)劃管理網(wǎng)段單獨拎出來加ACL才徹底安心。這件事讓我明白規(guī)劃階段省下的每一點事都會在后面某個時間點以更大的代價還回來。還有一個體會是關于文檔的。我以前也覺得文檔是給別人看的自己心里有數(shù)就行。直到有一次接手別人的項目機柜里線纜亂成一團沒有任何標簽配置里VLAN命名全是默認的VLAN0010、VLAN0020我花了整整兩天才把網(wǎng)絡結構摸清楚。從那以后我給自己定的規(guī)矩是標簽和文檔是交付的一部分不是可選項。最后分享一個很實用的小習慣每次改動配置之前先把當前配置導出一份改完之后再導出一份兩份對比一下差異。這樣既能看到自己改了什么也能在出問題時快速回滾。這個動作只要一分鐘但能省掉很多個不眠之夜。網(wǎng)絡這行做久了會發(fā)現(xiàn)穩(wěn)不穩(wěn)不取決于你配置寫得多漂亮而取決于你有沒有把那些不起眼的細節(jié)當回事。 網(wǎng)絡設備安裝與調試指南：VLAN規(guī)劃、鏈路聚合與驗收排查
1. 先想清楚一次靠譜的網(wǎng)絡設備上架到底包含哪些活“網(wǎng)絡設備安裝與調試”這八個字很多人第一反應是插上電、連上網(wǎng)線、進后臺點幾下就完事。我在實際項目里見過太多這樣的場景機柜門一關燈是綠的用戶也說能上網(wǎng)結果三個月后業(yè)務一擴加一臺服務器就開始丟包一查發(fā)現(xiàn)當初的地址池只規(guī)劃了半個C段VLAN全堆在一個廣播域里鏈路是一條單線跑滿。這類問題的根源幾乎都不在調試那一步而在于一開工就沒有把“安裝與調試”當成一個完整的工程來做。我理解的網(wǎng)絡設備安裝與調試是把一堆散裝硬件通過物理安裝、線纜敷設、地址與策略規(guī)劃、設備參數(shù)配置、分段驗證這一整套動作變成一張可管理、可擴展、可排查的網(wǎng)絡。涉及的設備通常包括接入交換機、核心或匯聚交換機、路由器或防火墻、無線控制器與AP、光模塊與配套的機柜供電。它解決的核心問題是讓數(shù)據(jù)在正確的路徑上、以穩(wěn)定的速率、按預期的權限流動并且在出問題時能被快速定位。這套活兒適合誰看剛入行的網(wǎng)絡運維、做弱電集成的工程人員、中小企業(yè)的IT兼崗、以及準備自己動手搭一套辦公網(wǎng)的技術負責人都能從下面這些細節(jié)里挑到能直接用的東西。我特別反感一種做法把調試當成“試出來”。改一個參數(shù)ping一下通了就收工不通再改回來。這種工作方式在設備少的時候看著效率高設備一多就會變成災難因為你根本不知道是哪個變量起了作用。所以后面我寫的所有內(nèi)容都建立在一個前提上——先有規(guī)劃再有配置最后有驗證。這三步的順序顛倒返工成本至少翻三倍。2. 開工前的功課現(xiàn)場勘察與規(guī)劃表2.1 機柜、供電與散熱的現(xiàn)場確認清單設備還沒到貨我就得先去現(xiàn)場看一遍。這一步很多新人會跳過覺得“機柜不就在那兒嗎”結果設備上架當天才發(fā)現(xiàn)機柜深度只有600mm而交換機的走線空間需要800mm或者機柜里只有一個8位PDUPoE交換機加AP的功耗直接頂?shù)缴舷蕖，F(xiàn)場勘察我一般按下面這幾項過一遍每項都寫進記錄里不到現(xiàn)場絕不憑想象畫圖。勘察項具體確認內(nèi)容不確認的后果機柜尺寸深度、寬度、可用U位、前后開門方向設備裝不進或無法走線供電PDU位數(shù)、插座制式、是否雙路、UPS容量PoE滿載跳閘、斷電無保護散熱進出風方向、空調出風位置、機柜風扇夏季高溫導致設備降頻重啟接地機柜接地排、接地線徑雷擊與靜電風險故障率上升布線通道橋架走向、穿墻孔位、弱電井位置線纜長度超標、施工返工這里面最容易被忽視的是風道方向。接入交換機一般是前后風道或者側進側出如果機柜里同時裝了服務器服務器的熱風正好吹到交換機的進風口夏天機房溫度一上來交換機風扇就會長期高轉速壽命明顯縮短。我遇到過一次一整柜的接入交換機在七八月份頻繁掉線最后查出來不是設備問題是機柜前后裝反了熱風在柜內(nèi)循環(huán)。供電這塊我習慣留余量。PoE交換機的功率預算不是把所有AP的標稱功耗加起來就完事要乘以一個冗余系數(shù)。經(jīng)驗算法是PoE總預算 ≥單臺AP峰值功耗 × AP數(shù)量 攝像頭數(shù)量 × 單臺峰值功耗× 1.3比如20臺AP單臺峰值12W8臺攝像頭單臺峰值8W那么總需求約為 (240 64) × 1.3 ≈ 395W。選一臺370W PoE預算的交換機就不夠了得上更大預算的型號或者把負載拆到兩臺設備上。這個計算在采購階段就要做等設備上架了才發(fā)現(xiàn)功率不夠只能加一臺PoE注入器現(xiàn)場難看還多一個故障點。2.2 IP地址與VLAN規(guī)劃一張表定生死我見過的最省事也最坑人的規(guī)劃就是全網(wǎng)一個192.168.1.0/24。省事是因為不用想坑人是因為一旦有設備發(fā)廣播風暴全公司一起斷。規(guī)劃這件事我建議在Excel里拉一張表把所有VLAN、網(wǎng)段、網(wǎng)關位置、DHCP由誰發(fā)、用途寫清楚這張表以后就是排查問題的地圖。下面這種粒度是我認為夠用的VLAN ID名稱網(wǎng)段網(wǎng)關設備用途備注10MGMT10.10.10.0/24核心交換機設備帶外管理禁止業(yè)務終端接入20OFFICE10.10.20.0/23核心交換機辦公終端約500個地址30VOICE10.10.30.0/24核心交換機IP電話走語音優(yōu)先隊列40WIFI-GUEST10.10.40.0/24防火墻訪客無線隔離僅出外網(wǎng)50SERVER10.10.50.0/24核心交換機內(nèi)部服務器單獨ACL管控60CAMERA10.10.60.0/24核心交換機視頻監(jiān)控大流量單獨收斂99TRANSIT10.10.99.0/30—三層互聯(lián)點對點掩碼30規(guī)劃里有幾個原則我基本不會破管理網(wǎng)段必須獨立。管理VLAN和業(yè)務VLAN混在一起等于把設備的console口掛在公網(wǎng)上一個終端中毒就可能掃到交換機管理地址。網(wǎng)關統(tǒng)一下沉到核心或匯聚。接入交換機只做二層網(wǎng)關不分散。這樣跨VLAN流量路徑清晰ACL也只需要在少數(shù)幾臺設備上維護。預留擴容空間。辦公網(wǎng)段用/23而不是/24就是因為終端增長永遠比你預估的快。等到地址耗盡再去改掩碼涉及改網(wǎng)關、改DHCP、改靜態(tài)配置是典型的半夜加班活。點對點互聯(lián)用/30。兩個設備之間只需要兩個可用地址用/24是浪費也是隱患容易被誤配。這張表做完設備怎么配基本就定了。我一直覺得規(guī)劃階段多花兩小時調試階段能省兩天。3. 硬件安裝看起來最沒技術含量翻車最多3.1 上架、理線與標簽的三條硬規(guī)矩硬件安裝這塊技術門檻確實不高但它是整個網(wǎng)絡穩(wěn)定性的地基。我總結下來有三條規(guī)矩違反了遲早出問題。第一條設備上架必須留出散熱和維護空間。交換機之間不要緊貼著堆尤其是高密度接入交換機U位之間留半U到1U的空隙熱量才有地方散。上架螺絲四顆都要擰我見過只擰前面兩顆的設備后部下沉光模塊插拔的時候整臺機器都在晃時間長了端口虛焊。第二條光纖的彎曲半徑不能小于30mm。這條是硬指標不是建議。光纖盤纖的時候要順著自然弧度走不能硬折成直角也不能用扎帶勒死。我見過一個機柜光纖被理線帶捆成一束垂下來看著特別整齊結果三個月后一條萬兆鏈路開始丟包光功率測試發(fā)現(xiàn)收光值比出廠時低了2dB拆開一看光纖在綁扎處被壓出了一個肉眼幾乎看不見的彎。光纖這東西寧可看著亂一點也不能過度受力。第三條兩端都要有標簽而且標簽要能看懂。常見的錯誤是只在一端貼標簽或者標簽寫“交換機1口”這種沒有意義的信息。我的習慣是標簽格式統(tǒng)一成“對端設備-對端端口-本端端口”比如CORE01-Gi0/1-ACC05-Gi0/24。這樣在配線架旁邊一看就知道這根線通向哪里排查的時候不用順著線爬。提示網(wǎng)線長度同樣有硬限制銅纜信道總長度不超過100米其中水平布線不超過90米兩端跳線各留5米。超過這個距離千兆可能勉強能通但誤碼率會上升表現(xiàn)為“能用但偶爾卡”。這種情況用測線儀測通斷是測不出來的必須用認證測試儀測衰減和串擾。3.2 光模塊與網(wǎng)線的實操細節(jié)光模塊這塊坑主要集中在匹配和清潔上。單模模塊配單模跳線多模配多模這個基本常識大家都有。但實際現(xiàn)場經(jīng)常出現(xiàn)的問題是收發(fā)方向搞反。一對光模塊一端的TX要接對端的RX交叉連接。很多跳線是雙芯的出廠時已經(jīng)做好交叉但如果是自己壓的或者用單芯跳線就要格外注意。判斷方法很簡單插上之后端口燈不亮把兩根纖對調一下試試大概率就通了。清潔這件事必須單獨說。光模塊端面和光纖接頭被手指碰一下或者放在口袋里帶上來端面就有一層油污肉眼看不見但收光功率會直接掉幾個dB。我的做法是隨身帶一盒無塵棉簽和專用清潔筆每根光纖插之前都擦一遍插上之后用光功率計讀一下收光值和模塊的接收靈敏度范圍對一下。比如一個典型的長距單模模塊接收范圍可能是-3dBm到-20dBm實測如果是-2dBm說明太強可能要加衰減器如果是-22dBm就已經(jīng)在臨界值附近鏈路不可靠。網(wǎng)線這邊除了長度還有一個高頻錯誤是線序?，F(xiàn)在基本都是直通線兩端都按T568B打這個沒錯。但做水晶頭的時候壓線鉗沒壓到底或者線芯沒頂?shù)剿ь^前端就會形成接觸不良。表現(xiàn)是鏈路時通時斷或者速率協(xié)商不到千兆。我現(xiàn)場驗收會看交換機的端口錯包統(tǒng)計如果某個口的CRC錯誤計數(shù)在持續(xù)增長第一個懷疑對象就是這根網(wǎng)線和水晶頭。4. 設備調試從帶外登錄到業(yè)務打通4.1 初始配置與帶外管理的正確打開方式新設備開箱第一件事不是插網(wǎng)線是接Console線。這個順序很重要因為新設備的管理地址是未知的有的出廠還開著DHCP客戶端接上網(wǎng)絡可能會拿到一個莫名其妙的地址或者更糟和現(xiàn)網(wǎng)設備地址沖突。用Console線本地登錄波特率一般是96008位數(shù)據(jù)位無校驗1位停止位這個參數(shù)記不住就查手冊別亂試。登錄進去之后我一般按這個順序走一遍修改默認管理員賬號和密碼密碼長度和復雜度按規(guī)范來不要用設備型號當密碼。配置設備名稱、時區(qū)、NTP。NTP這件事一定要做日志時間戳不準出故障的時候你連“先發(fā)生什么后發(fā)生什么”都判斷不了。配置管理VLAN和帶外管理地址。管理地址只允許管理網(wǎng)段訪問這一點通過ACL或者管理接口的訪問控制實現(xiàn)。關閉不用的端口或者劃到一個隔離VLAN里?？斩丝陂_著有人插一根線進來就是一個未經(jīng)授權的接入點。保存配置。這一步看著廢話但我真的見過調試完忘了保存一斷電全部回到出廠設置的。帶外管理的意思是即使業(yè)務網(wǎng)絡全掛了你還能從一條獨立通道登進設備。對于核心設備我一般會額外配一個管理口接獨立的交換機或者至少保證管理VLAN的網(wǎng)關不依賴于這臺設備本身。有一次核心交換機因為配置錯誤導致CPU打滿SSH完全登不進去最后是靠Console線現(xiàn)場救回來的那次之后我所有的核心設備都留了帶外通道。下面是一段典型的基礎配置片段命令風格按通用CLI寫具體語法各家有差異但邏輯是一致的# 基礎信息 hostname ACC05 clock timezone CST 8 ntp-service unicast-server 10.10.10.5 # 管理VLAN與地址 vlan 10 description MGMT interface Vlanif10 ip address 10.10.10.25 255.255.255.0 # 管理訪問控制只允許管理網(wǎng)段 acl number 2000 rule 5 permit source 10.10.10.0 0.0.0.255 rule 10 deny user-interface vty 0 4 acl 2000 inbound authentication-mode aaa # 未使用端口隔離 interface GigabitEthernet0/0/1 shutdown4.2 VLAN、Trunk與鏈路聚合的配置要點VLAN劃分本身不難難的是Trunk鏈路的細節(jié)。接入交換機上聯(lián)到匯聚這條鏈路是Trunk要放行哪些VLAN、PVID設成什么這幾個參數(shù)必須和規(guī)劃表嚴格對應。我先說允許列表。Trunk口默認可能放行所有VLAN這在實驗室里方便在生產(chǎn)環(huán)境里是隱患。正確做法是只放行這臺接入交換機實際需要的VLAN。比如一臺接入交換機只接辦公終端和IP電話那就只放行VLAN 20和30其他一律剪掉。這樣做的好處是即使別的VLAN出了問題廣播也不會順著Trunk擴散過來。再說PVID。PVID決定了不帶標簽的幀進入Trunk口時歸到哪個VLAN。很多設備默認PVID是VLAN 1而VLAN 1通常又被當作管理VLAN這就埋了一個雷如果某臺設備誤發(fā)了不帶標簽的幀它會直接進入管理VLAN。我的做法是把Trunk口的PVID改成一個不用的VLAN或者顯式地把native VLAN隔離掉。鏈路聚合是提升帶寬和冗余的常用手段兩條千兆捆成一條邏輯鏈路既擴容又防單點故障。配置上有兩種模式靜態(tài)聚合和動態(tài)聚合LACP。我的選擇是聚合模式適用場景優(yōu)點風險靜態(tài)聚合對端是服務器或舊設備不支持LACP配置簡單兼容性好一端配置錯誤時容易形成環(huán)路動態(tài)LACP交換機之間互聯(lián)能協(xié)商檢測一端故障自動剔除配置稍復雜需兩端都開啟交換機之間互聯(lián)我基本都用LACP。配置時要注意聚合組內(nèi)所有成員口的速率、雙工、VLAN配置必須完全一致否則成員口可能無法加入聚合組。還有一個細節(jié)是負載均衡算法默認的哈希方式可能是基于源MAC這樣單個大流量會話還是會跑在一條成員鏈路上。如果下游有存儲或者視頻流這類大流量單會話業(yè)務要把哈希算法改成基于源目IP或者源目IP加端口的組合才能真正把流量分散開。# 動態(tài)鏈路聚合示例 interface Eth-Trunk1 mode lacp-static port link-type trunk port trunk allow-pass vlan 20 30 load-balance src-dst-ip interface GigabitEthernet0/0/23 eth-trunk 1 interface GigabitEthernet0/0/24 eth-trunk 14.3 路由、DHCP與安全策略的落地三層打通是調試階段最核心的環(huán)節(jié)。核心交換機上有各個VLAN的網(wǎng)關VLAN之間默認是通的但實際業(yè)務往往需要管控。比如訪客VLAN不能訪問服務器VLAN監(jiān)控VLAN只需要被指定的終端訪問。這些通過ACL在網(wǎng)關接口上做方向性過濾。ACL這東西寫錯了比不寫更危險。我見過一條規(guī)則寫成permit ip any any本意是先放行再收緊結果順序沒排好把所有限制都架空了。寫ACL的原則是先具體后寬泛最后一條必須deny而且寫完要在設備上看一下命中計數(shù)確認規(guī)則真的在生效而不是只存在于配置里。DHCP的配置同樣有講究。地址池要和VLAN網(wǎng)段對應網(wǎng)關和DNS要寫對排除地址要把靜態(tài)配置的設備避開。如果是無線AP通過DHCP獲取地址還要配置option 43告訴AP控制器的地址這一步漏了AP就會一直卡在“正在獲取IP”狀態(tài)。# DHCP地址池示例 ip pool OFFICE network 10.10.20.0 mask 255.255.254.0 gateway-list 10.10.20.1 dns-list 10.10.10.5 10.10.10.6 excluded-ip-address 10.10.20.1 10.10.20.10 lease day 7 # 訪客VLAN隔離示例 acl number 3000 rule 5 deny ip source 10.10.40.0 0.0.0.255 destination 10.10.50.0 0.0.0.255 rule 10 deny ip source 10.10.40.0 0.0.0.255 destination 10.10.20.0 0.0.1.255 rule 15 permit ip source 10.10.40.0 0.0.0.255 rule 20 deny ip interface Vlanif40 traffic-filter inbound acl 3000配置完這些不要急著宣布完工。我一般會先在一個VLAN里找兩臺終端互ping再從訪客VLAN去ping服務器VLAN確認該通的通、該斷的斷。這種“正反都測”的習慣能提前發(fā)現(xiàn)大部分ACL方向寫反的問題。4.4 無線部分的調試別當成附屬品無線現(xiàn)在幾乎是辦公網(wǎng)的標配但很多項目把它當附屬品最后配完有線就完事無線體驗一塌糊涂。無線調試的核心其實是兩件事信道規(guī)劃和功率控制。2.4G頻段只有1、6、11三個互不重疊的信道AP一密集就容易同頻干擾。我的做法是先把2.4G的AP數(shù)量控制住能上5G的終端盡量引導到5G。5G頻段信道多但要避開雷達信道DFS尤其是在某些區(qū)域AP檢測到雷達信號會自動切信道造成短暫斷連。室內(nèi)辦公場景我一般優(yōu)先選非DFS信道。功率方面很多人把AP功率開到最大覺得信號強就是好。實際上功率越大覆蓋重疊越多終端在AP之間“粘”著不漫游走到另一個區(qū)域信號已經(jīng)很弱了還不斷開體驗反而差。正確做法是把功率調到一個適中值讓相鄰AP的覆蓋有適度重疊同時開啟漫游相關的門限參數(shù)讓終端在信號變?nèi)鯐r主動切換。AP上線之后我會拿手機走一圈重點測三個位置AP正下方、兩個AP交界處、最遠的角落。交界處的漫游切換如果用著用著斷一下多半是功率或者漫游門限沒調好這個只能靠現(xiàn)場實測看圖紙是看不出來的。5. 驗收與交付怎么證明這套網(wǎng)真的穩(wěn)5.1 分段驗證法從物理層一路打到應用層設備調完我從不直接說“好了”。網(wǎng)絡這東西配置不報錯不代表業(yè)務正常必須一層一層驗證上去。我習慣按下面的順序走哪一層出問題就停在哪一層排查不跳步。驗證層級驗證方法判斷標準物理層查看端口狀態(tài)、光功率、錯包計數(shù)端口UP收光在范圍內(nèi)錯包不增長鏈路層查看MAC地址表、VLAN信息MAC學習正常VLAN劃分正確網(wǎng)絡層ping網(wǎng)關、ping跨網(wǎng)段地址通且延遲穩(wěn)定不丟包傳輸層大包不分片ping、帶寬打流測試1472字節(jié)以上不丟包帶寬接近線速應用層實際業(yè)務訪問、無線漫游測試業(yè)務可用漫游無感知斷連這里面我最看重的是大包測試。普通的ping默認32字節(jié)只能證明鏈路通證明不了鏈路好。用ping -l 1472 -f這種不分片的大包去打能暴露MTU不匹配、鏈路質量差的問題。如果小包通大包不通八成是MTU或者分片配置的問題如果大包丟包率高那就要回去看物理層和錯包統(tǒng)計了。帶寬測試我會用打流工具在兩臺終端之間跑一下看看實際吞吐能不能接近鏈路標稱值。千兆鏈路實測跑到900Mbps以上算正常如果只有三四百兆可能是有其他流量干擾也可能是雙工協(xié)商有問題或者鏈路聚合沒生效。5.2 配置備份與文檔交付這一步很多工程人員會省但它決定了這套網(wǎng)以后好不好維護。我的交付清單里固定包含三樣東西配置文件、拓撲圖、地址與端口對照表。配置文件每臺設備導出一份文件名帶日期比如ACC05_20240612.cfg。不要只存在設備里設備壞了配置就沒了。我會在本地留一份再放一份到內(nèi)部的文檔系統(tǒng)里。配置變更之后及時更新備份這一點在多人維護的環(huán)境里尤其重要否則回滾的時候你會發(fā)現(xiàn)備份是三個月前的。拓撲圖不用畫得多精美但必須準確標清楚設備之間的連接關系、鏈路聚合、VLAN網(wǎng)關位置。地址與端口對照表就是前面那張規(guī)劃表的最終版調試過程中如果有調整一定要同步更新別讓文檔和現(xiàn)實兩張皮。注意交付文檔里不要寫明文密碼。密碼可以單獨走密碼管理流程文檔里只寫賬號和用途。這一點在小團隊里經(jīng)常被忽略一個Excel表格傳來傳去最后誰都知道核心設備的密碼。6. 常見問題與排查技巧實錄6.1 物理層與鏈路層的高頻坑網(wǎng)絡故障里我統(tǒng)計下來至少一半出在物理層和鏈路層而且這類問題最容易被誤判成“設備壞了”。下面這幾個是我遇到頻率最高的。端口頻繁up/down。先看是不是網(wǎng)線或水晶頭問題換一根已知好的線試試再看是不是雙工協(xié)商不一致一端強制全雙工一端自協(xié)商就會出現(xiàn)這種抖動。我的習慣是兩端都設成自協(xié)商除非有特殊需求不手工強制速率。某個VLAN內(nèi)終端互相不通但都能上網(wǎng)關。這種情況八成是接入交換機的端口VLAN劃分不一致或者Trunk沒放行這個VLAN。查一下MAC地址表看終端的MAC有沒有學到正確的端口和VLAN里。全網(wǎng)變慢CPU占用高。第一反應是環(huán)路。檢查有沒有人私接了兩根線到同一個交換機或者把兩個墻面口用一根網(wǎng)線連起來了。環(huán)路的表現(xiàn)是MAC地址表頻繁漂移、廣播包暴漲、設備CPU飆升。應急處理是把懷疑的端口先shutdown再逐步恢復定位。預防手段是在接入端口上開啟環(huán)路檢測和BPDU保護邊緣端口收到BPDU就自動關閉。光鏈路時通時斷。先測收光功率再看光模塊的型號和距離是否匹配。多模光纖跑長距離、或者用錯波長都會導致鏈路不穩(wěn)定。還有一種是光纖接頭臟了這個前面說過清潔之后往往立竿見影。6.2 網(wǎng)絡層與業(yè)務層的排查套路到了網(wǎng)絡層排查就要講方法了。我的習慣是從近到遠、從自身到對端一層層縮小范圍。終端上不了網(wǎng)先看它有沒有拿到IP。ipconfig /all一看如果是169.254開頭的地址說明DHCP沒拿到問題在DHCP或者鏈路。如果拿到了地址但ping不通網(wǎng)關查VLAN和網(wǎng)關配置。如果ping得通網(wǎng)關但上不了外網(wǎng)查路由和NAT。DNS問題是最容易被誤判的。用戶說“網(wǎng)斷了”實際是網(wǎng)頁打不開但QQ能發(fā)消息。這種情況基本是DNS解析失敗不是網(wǎng)絡不通。讓用戶直接ping一個公網(wǎng)IP地址能通就說明鏈路沒問題問題在DNS服務器或者終端DNS配置?？缇W(wǎng)段訪問慢但同網(wǎng)段正常。這種要看路由路徑和ACL。有時候是流量繞了一大圈本來應該在三層直連的結果走了一條低帶寬的鏈路。用tracert看一下路徑問題一目了然。無線終端頻繁掉線尤其是在移動過程中。除了前面說的功率和漫游門限還要看是不是終端本身在2.4G和5G之間反復切換或者AP的接入數(shù)超了上限。這些在控制器的日志里都能看到。6.3 排查速查表現(xiàn)場排查的時候腦子容易亂我整理了一張順序表按這個走基本不會漏現(xiàn)象優(yōu)先檢查常用命令/手段端口燈不亮網(wǎng)線、光模塊、對端端口換線、換模塊、看端口狀態(tài)端口燈亮但不通VLAN劃分、端口shutdown查MAC表、查端口配置拿到169.254地址DHCP服務、鏈路可達性查DHCP池、查中繼配置能ping通IP不能開網(wǎng)頁DNS配置nslookup、換DNS測試跨網(wǎng)段不通網(wǎng)關、路由、ACLtracert、查路由表、查ACL命中全網(wǎng)慢、丟包環(huán)路、廣播風暴、帶寬打滿查MAC漂移、查端口流量無線信號強但慢同頻干擾、終端數(shù)過多改信道、降功率、看AP負載大包不通小包通MTU、分片大包ping測試、查接口MTU這張表不是萬能的但它能保證你在慌亂的時候有個抓手不至于東一榔頭西一棒子。7. 幾條踩出來的經(jīng)驗給準備動手的人設備裝完調試完我最想說的是網(wǎng)絡工程里真正值錢的東西不是配置命令而是對“為什么會這樣”的理解。命令可以查手冊但為什么這個VLAN要單獨劃、為什么這條鏈路要做聚合、為什么這個口要設成邊緣端口這些判斷才決定了這張網(wǎng)半年后是不是還穩(wěn)。我踩過最貴的一個坑是在一個辦公項目里圖省事把管理VLAN和辦公VLAN放在同一個網(wǎng)段。當時覺得省一個網(wǎng)段而已結果半年后一臺終端中了招瘋狂掃描內(nèi)網(wǎng)把交換機的管理地址也掃了個遍登錄日志爆滿差點鎖死。后來改規(guī)劃管理網(wǎng)段單獨拎出來加ACL才徹底安心。這件事讓我明白規(guī)劃階段省下的每一點事都會在后面某個時間點以更大的代價還回來。還有一個體會是關于文檔的。我以前也覺得文檔是給別人看的自己心里有數(shù)就行。直到有一次接手別人的項目機柜里線纜亂成一團沒有任何標簽配置里VLAN命名全是默認的VLAN0010、VLAN0020我花了整整兩天才把網(wǎng)絡結構摸清楚。從那以后我給自己定的規(guī)矩是標簽和文檔是交付的一部分不是可選項。最后分享一個很實用的小習慣每次改動配置之前先把當前配置導出一份改完之后再導出一份兩份對比一下差異。這樣既能看到自己改了什么也能在出問題時快速回滾。這個動作只要一分鐘但能省掉很多個不眠之夜。網(wǎng)絡這行做久了會發(fā)現(xiàn)穩(wěn)不穩(wěn)不取決于你配置寫得多漂亮而取決于你有沒有把那些不起眼的細節(jié)當回事。