为什么要按顺序来

网断了以后最常见的做法是到处乱试：重启路由器、重启电脑、换网线、改地址，运气好能好，运气不好把小问题搞成大问题。原因就是跳过了底层直接去改上层配置。按物理层到应用层的顺序一层一层排除，看起来慢，实际最快，因为每排除一层就把范围缩小一大块。

物理层看什么

先看指示灯。交换机端口灯不亮，可能是网线断、水晶头没压实、对端设备没电。光口看有没有光模块、收发光功率是否在正常范围内（一般负三到负十 dBm 之间算正常，过低或没有收光说明光纤或对端有问题）。再动手：换一根确认好的网线试试，把水晶头重压一个试试，把设备插到确认正常的端口上试试。无线的话先看 AP 是否在线、有没有供电。

链路层看什么

物理通了不代表链路正常。看端口协商出来的速率和双工：应该是千兆全双工，如果协商成百兆或半双工，多半是线序有问题或线缆质量不行。看端口的错误统计：CRC 错误、冲突、丢包计数持续增长，说明线缆或干扰有问题。看有没有环路：广播风暴会让所有端口灯狂闪，这时要查是不是有人把一根网线的两头都插在了同一个交换机上，环路检测或生成树有没有生效。

地址层看什么

终端上先查自己拿到的地址：是不是正确的网段、掩码对不对、网关能不能通。拿到 169.254 开头的地址说明没拿到 DHCP 分配，要去查 DHCP 服务器、地址池是否耗尽、中继是否配好。能通网关但不能上网，问题在出口；不能通网关但同段能通，问题在网关设备或 VLAN 配置。还要查 ARP：能不能解析出网关的 MAC，解析出来的是不是正确的设备，ARP 表里出现多个地址对应同一个 MAC 要警惕仿冒。DNS 也归在这一层查，能通 IP 不能域名，先用 nslookup 试一下解析。

• 在终端上依次执行：查本机地址、ping 网关、ping 同段其他终端、ping 公网地址、ping 域名。
• 这五步里哪一步开始不通，问题就定位在哪一段，不需要再往后面猜。
• tracert 可以看路径在哪一跳断掉，配合定位出口还是内网。

策略层看什么

地址通了但业务不通，多半是策略挡住了。要查的有：交换机端口的 VLAN 归属是否正确、三层设备上的 ACL 或防火墙规则是否放通、出口的 NAT 和源地址策略、行为管理设备上的应用拦截与黑名单、MAC 绑定与准入认证是否拒绝了该终端、访客网是否做了隔离。这一层的排查关键是先确认改过什么：很多故障是上一次配置变更留下的，查变更记录比查配置快。

应用层看什么

网络通了但应用不能用，问题在网络之外。要确认服务器端口是否监听、服务是否启动、证书是否过期、客户端代理设置是否正确、系统时间偏差是否导致认证失败、应用自身的日志报什么错。这一步要拉上应用系统的维护方，网络侧能做的是证明链路到服务器端口是通的，其余由对方处理。

几点经验

• 故障发生时先记录现象和时间，包括哪些终端受影响、是全部还是部分、有没有规律。
• 排查过程中每改一次配置就记一次，恢复不了的时候能按记录回退。
• 两台终端对比是最快的方法：一台正常一台不正常，把不正常的换到正常的端口、正常的网线、正常的地址，逐项替换。
• 改配置前先导出备份，尤其是出口设备和核心交换机。
• 不要为了先恢复而留下临时配置，恢复之后要补上正式配置并记录。

什么时候该叫人

如果排查到第二层以上还没有头绪，或者涉及出口设备、核心交换机的配置变更，建议联系有经验的人处理，越往后改配置的风险越大。湖北浠媄网络科技有限公司承接仙桃本地及周边地区的网络故障排查与运维托管，先电话了解情况，能远程的远程处理，需要现场的按距离约时间。报障电话 0728-8203567，手机 17765090828。