網絡不通 源自網關地址沖突
單位局域網包含三十幾臺客戶端工作站，由于工作站數量相對較少，并且可以使用的靜態IP地址資源又比較充裕，為此網絡管理員為每一臺工作站都手工分配了一個靜態的IP地址，平時局域網中的每一臺工作站都能正常上網，并且上網速度也是很快。可是，最近經常有員工向單位網絡管理員反映情況，說局域網網絡有時能夠正常訪問，有時不能正常訪問，特別是所有工作站都接入到局域網中時，干脆就不能訪問網絡了。經過網絡管理員的一番深入細致的檢查，最終發現這則網絡不通的故障現象是由于局域網網關引起的，那么這究竟是怎么一回事呢?現在，本文就對這則故障現象的解決過程進行還原，希望大家能從中得到一點收獲!
故障現象
網絡管理員接到來自員工的無法訪問網絡的電話“求援”后，迅速帶著一些必備的測試工具奔赴故障現象，經過對故障現場的一番簡單勘察后，網絡管理員決定先以故障工作站為測試中心，使用Ping命令對局域網中的一些主要工作站IP地址進行連通性測試。網絡管理員先是ping了臨近的一臺工作站IP地址，測試結果發現故障工作站能夠很迅速地Ping通臨近工作站，這說明故障工作站與局域網網絡之間的物理連接是正常的。之后網絡管理員又對局域網路由器的IP地址進行了Ping命令測試，畢竟路由器的IP地址就是局域網網絡的網關地址，如果該地址無法Ping通的話，那么故障工作站肯定是無法訪問外部網絡的;經過測試之后，網絡管理員發現路由器的IP地址仍然能夠正常Ping通，這說明故障工作站到局域網出口這一段線路肯定是正常的。再嘗試Ping外網某個目標網站的IP地址時，網絡管理員發現Internet網絡中的網站地址無法Ping通，這說明故障工作站無法訪問Internet網絡;根據這一測試結果，網絡管理員估計問題很可能發生在局域網網關中，也就是說局域網路由器的參數設置不當或其工作狀態不正常。于是，網絡管理員毫不猶豫地將局域網路由器作為了重點檢查目標，連接到路由器設備上并使用系統管理員身份登錄進路由器的后臺管理界面后，網絡管理員仔細檢查了路由器的各個工作參數，但一點異常現象也沒有找到;之后，網絡管理員又順便檢查了局域網交換機的工作狀態，特別是檢查了故障工作站所連接的那個交換機連接端口，結果也沒有找到有什么異常的地方。
故障解決
在排除了各種可能因素后，網絡管理員發現故障工作站還是不能訪問網絡。偶然之間，一位員工跑來向網絡管理員借用殺毒光盤，說是他的工作站不小心感染了網絡病毒;這一事件給網絡管理員帶來了靈感，再加上最近一段時間arp病毒非常猖獗，于是網絡管理員初步斷定局域網網絡無法上網的故障可能是時下非常流行的arp病毒引起的。想到這一點，網絡管理員立即從網上下載了arp病毒專殺工具，并將該工具程序拷貝到局域網中的每一臺工作站中，并要求每一位員工都要立即運行專殺工具來查殺arp病毒，然而這樣的努力沒有收到一點成效，故障工作站還是不能通過局域網訪問Internet網絡，網絡管理員一時也陷入了迷芒之中。
在萬般無奈之下，網絡管理員打算采用隔離法對網絡故障進行逐一排查。他先是將外網接口單獨連接到一臺安裝了Windows Server 2003的計算機上，并對該計算機的上網參數進行了合適配置后，發現這臺Windows Server 2003服務器主機單獨訪問網絡時完全正常，這說明局域網的路由器工作狀態很正常。將局域網網絡連接恢復到之前的狀態后，網絡管理員又耐心詢問了單位員工，這些員工都說網絡有時通有時不通，特別是早上剛剛上班、只有部分工作站連接到局域網中時，網絡訪問就很正常，一旦所有工作站全部接入局域網后，網絡訪問立即就不正常了。
依照這點發現，網絡管理員估計很可能是局域網中的某些工作站對網絡的正常運行帶來了影響。由于先前已經排除了局域網病毒因素，那么現在出現問題的地方很可能是某些工作站的上網配置。為此，網絡管理員迅速從網上下載安裝了一款名為netsuper的網絡管理工具軟件，并利用該工具對整個局域網中的所有工作站上網配置信息進行了全面掃描，了解了每一臺工作站的IP地址以及MAC地址等配置信息。等到掃描操作結束后，網絡管理員從最后的結果界面中竟然找到了故障工作站不能訪問網絡的原因，原來局域網中某一臺工作站使用的IP地址竟然與路由器的IP地址相同，也就是局域網的網關地址與其他工作站IP地址存在沖突現象。如此一來所有的疑惑一切都迎刃而解了，先前網絡管理員對網關地址進行Ping命令測試時，雖然能夠正常Ping通，但實際上Ping通的并不是真正網關地址，而是與一臺普通的工作站進行通訊，并且局域網內部工作站相互進行網絡訪問時，由于不需要經過路由器中轉，所以內網工作站相互之間訪問時自然就一切正常了;但是局域網內部工作站訪問外網網絡時，內網工作站會自動優先選用同一個子網中的網關信息，也就是說內網工作站會優先選用非法網關嘗試上網連接，而那個非法網關由于不具有真正的路由功能，所以內網工作站當然就不能訪問Internet網絡中的內容了。
弄清楚了網絡故障原因之后，網絡管理員立即修改了與局域網網關地址沖突的那臺工作站IP地址，之后又將局域網路由器設備重新啟動了一下，最后整個局域網網絡的運行狀態立即恢復了暢通，網絡管理員又在先前不能上網的故障工作站中進行了上網連接，結果發現無法上網的故障現象也已經消失了。 #p#
故障反思
上面的故障現象雖然已經被成功排除了，但是經過這件事情之后，網絡管理員對網絡管理工作進行了更為深刻的反思，畢竟單純將局域網服務器的維護、管理工作做好，并不能保障局域網網絡完全正常運行，對客戶端工作站的管理同樣也是不可忽視，因為客戶端用戶日后要是再次隨意更改上網參數的話，仍然還會造成類似的故障現象。為了阻止客戶端用戶隨意更改上網參數，網絡管理員建議各位朋友采用如下方法管理客戶端工作站：
1.禁止客戶端用戶修改參數
要做到這一點，我們可以在客戶端工作站系統桌面中依次單擊“開始”/“運行”命令，在其后出現的系統運行文本框中輸入“gpedit.msc”字符串命令，單擊回車鍵后，打開對應工作站系統的組策略編輯窗口;在該編輯窗口的左側顯示區域，將鼠標定位于“用戶配置”/“管理模板”/“網絡”/“網絡及撥號連接”節點選項上，在目標節點選項下面雙擊“可以訪問lan連接組件的屬性”組策略選項，打開目標組策略屬性設置窗口，選中其中的“禁用”選項，再單擊“確定”按鈕關閉目標組策略屬性設置窗口，如此一來客戶端用戶就不能進入本地連接屬性設置對話框，去隨意修改客戶端工作站的的各種上網參數了。
為了防止一些熟悉網絡的朋友自行修改本地客戶端系統的組策略參數，我們還可以通過反注冊本地連接圖標的方式，來將本地連接圖標隱藏起來，從而達到禁止客戶端用戶進入本地連接屬性設置窗口的目的。我們可以先打開本地客戶端系統的“開始”菜單，從中點選“運行”選項，并在彈出的系統運行框中依次執行字符串命令“regsvr32 Netcfgx.dll/u”、“regsvr32 Netman.dll/u”、“regsvr32 Netshell.dll/u”，最后再將客戶端工作站系統重新啟動一下，如此一來系統本地連接圖標就會被隱藏起來了，到時客戶端用戶也就無法隨意更改各種上網參數了。
當然，還有一種更實用的辦法來禁止客戶端用戶隨意修改本地的IP地址參數。在使用該方法時，我們可以先獲取本地客戶端工作站網卡的物理地址;如果局域網中只有少數幾臺工作站的IP地址需要綁定時，那么我們只要在Win2000或WinXP系統環境下執行字符串命令“ipconfig /all”，就能獲得目標網卡設備的MAC地址了，要是我們想快速獲取若干臺工作站的網卡MAC地址時，不妨借助類似“MAC地址掃描器”這樣的專業查找工具，來批量得到整個工作子網中的所有工作站網卡物理地址。一旦得到目標網卡設備的物理地址后，我們再依次單擊“開始”/“運行”命令，在系統運行框中執行字符串命令“cmd”，將系統屏幕轉到Ms-dos工作窗口，然后在命令行提示符下執行類似“arp -s ip mac”這樣的字符串命令，就能將目標IP地址限制在指定網卡設備上使用了。
2.使用DHCP自動分配IP地址
使用手工方法為客戶端工作站系統逐一分配IP地址，不但費時費力，而且還很容易發生IP地址沖突現象，明顯不利于局域網網絡的管理與維護。為此，在條件許可的情況下，我們應該考慮在局域網中架設一臺DHCP服務器，讓DHCP服務器自動為局域網中的所有客戶端工作站分配動態IP地址，這樣不但解放了網絡管理員自己，而且也解決了IP地址頻繁沖突的故障現象。當然，對于局域網中的一些重要主機，例如服務器、路由器等，我們可以在DHCP服務器中設置好保留IP地址，以便讓重要主機仍然能夠正常使用靜態IP地址為局域網網絡提供服務。
3.限制客戶端用戶操作權限
如果將客戶端用戶的操作權限降低為普通用戶組權限，而不是Administrators組權限時，那么客戶端用戶自然就不能隨意對IP地址等系統參數進行修改了，那樣的話局域網網絡的運行穩定性也就能得到有效保證了。
4.盡量使用活動目錄管理網絡
在條件許可的情況，單位局域網應該盡可能安裝配置活動目錄，使用域方式對局域網客戶端進行管理。統一要求客戶端用戶使用域賬戶登錄局域網，從而防止以前的工作組用戶權限相對自由的局面，客戶端用戶必須使用網絡管理員事先分配好的域賬戶才能登錄本地工作站系統，那樣一來不但能夠有效提高單位員工的安全防范意識，而且還能大大提升局域網網絡的運行穩定性。
【編輯推薦】
