步步排查 解決網絡的無規律性掉線
在管理與維護局域網的過程中，網絡管理員遇到各類形形色色的故障是常有的事情，要想快速有效地將網絡故障排除、解決掉，需要網絡管理員在日常工作中不斷積累故障排除經驗。下面就是筆者曾經遭遇到的一則奇怪的網絡故障，現借助本文向各位朋友們介紹如何在日后的網絡維護中解決類似的網絡故障。
故障現象
單位局域網網絡共分成了三個工作子網，其中10.168.1.0網段被標識為A子網，并且該子網專門用于接入單位的各種服務器主機，其他所有子網都能訪問該網段中的各個服務器;另外，10.168.2.0網段被標識為B子網，10.168.3.0網段被標識為C子網，每一個網段的掩碼地址都為255.255.255.0，同時各個工作子網通過二層交換機與單位的核心交換機直接相聯，并且每一個網段中的所有主機都能正常訪問網絡。
最近C子網中的許多工作站在訪問A子網中的服務器系統時，卻遇到了非常奇怪的現象，具體表現為當C子網中的1號工作站、2號工作站、3號工作站訪問A子網中的服務器出現頻繁掉線現象時，4號工作站、5號工作站、6號工作站訪問相同子網中的服務器卻很穩定。
當4號工作站、5號工作站、6號工作站訪問服務器出現頻繁掉線現象時，1號工作站、2號工作站、3號工作站訪問相同的服務器系統又恢復正常了。
然而讓人感到非常意外的是，C子網中的每一臺工作站互相訪問時卻非常正常，而且各自相互訪問的速度還很快。
更讓人吃驚的是，上述網絡故障一到了晚上就會自動消失，但是白天正常上班期間這種網絡故障又會毫無規律性地出現在我們的面前，很顯然這種故障不被徹底根治，將會嚴重影響單位的日常工作。
故障排除
從上面的故障描述中，我們不難看出同一子網中的每一臺工作站相互訪問時一切正常，這也表明了C子網在網絡連線上是沒有任何問題的。之后，筆者檢查了連接C子網的二層交換機以及單位的核心交換機的參數配置情況，發現配置還是以前的配置，于是筆者斷定交換機的參數設置肯定不會出現問題，但想到交換機工作時間變長之后，很可能出現緩存出錯的故障。
于是筆者不放心，特意將二層交換機以及單位的核心交換機的電源暫時斷開一會兒，然后重新啟動交換機系統，這樣一來保存在各個交換機緩存中的所有內容全部被清除干凈了。經過這樣的處理之后，上述網絡故障突然消失了，筆者原以為網絡無規律掉線的故障至此就被順利排除了;可誰知道，過了兩三天后，C子網中又出現了相同的網絡故障了。
考慮到重新啟動交換機系統后，網絡故障的確消失了一段時間，為此筆者認定該網絡故障肯定還是與交換機有一定的關系;為了徹底找到引起上述網絡故障的真正原因，筆者找來了一臺備用的交換機，并按照C子網先前的網絡配置設置好了這臺備用交換機的工作參數，之后又按正確的方法將它接入到網絡中，可是C子網的工作站還是出現了以前的不規則掉線現象，看來這則故障現象與交換機毫無關系。這究竟是什么原因呢?
偶然之間，筆者登錄進C子網的一臺工作站系統中，并在該工作站中對C子網的網關地址執行Ping命令測試，測試結果發現該網關地址有時能夠被Ping通，有時無法Ping通;更讓筆者感到困惑的是，在Ping通網關地址的情況下，筆者又執行了一次“arp -a”字符串命令，發現C子網的網關MAC地址顯示為00-08-02-65-B7-60，但是在Ping不通網關地址的情況下，筆者在本地工作站執行“arp -a”字符串命令后，發現發現C子網的網關MAC地址竟然變成了0F-01-0E-68-F7-90。
后來筆者不放心，特地從C子網中又找了其他幾臺工作站進行測試，結果發現C子網的網關MAC地址變化情形完全相同;按理來說，C子網的網關MAC地址應該是固定不變的，現在怎么會突然發生了變化呢?事實上，C子網的網關MAC地址正確的應該為00-08-02-65-B7-60，在無法Ping通C子網的網關地址時，其MAC地址才變成了0F-01-0E-68-F7-90。
這說明C子網中存在ARP地址欺騙現象，換句話說就是C子網中的某一臺工作站不小心感染了ARP欺騙木馬病毒。當局域網中的某工作站感染了ARP木馬病毒后，會自動對局域網中的所有工作站以及缺省網關進行自動欺騙，這么一來所有嘗試訪問網絡的工作站需要首先連接病毒工作站，從而引起了C子網中的工作站無法正常訪問其他網段中的工作站，當然也不能正常訪問A子網中的各臺服務器主機了。#p#
故障解決
找到了C子網無規律掉線原因之后，我們需要想辦法阻止ARP病毒實施欺騙攻擊。要做到這一點，我們首先要做的就是找出C子網中究竟是哪一臺工作站感染了ARP病毒。考慮到在Ping不通網關地址的情況下，C子網的網關MAC地址由原來的00-08-02-65-B7-60變成了0F-01-0E-68-F7-90，這說明網卡MAC地址為0F-01-0E-68-F7-90的工作站就是我們所要找的故障工作站。
由于C子網中包含的工作站數量比較多，如果使用手工方法逐一查看每一臺工作站網卡MAC地址時，操作效率肯定非常低下;有鑒于此，筆者從網上找來IP-MacScan地址掃描工具，打開該工具的掃描界面(如圖1所示)。
在該界面左側顯示區域輸入C子網的起始IP地址和結束IP地址，并單擊“開始掃描”按鈕，隨后IP-MacScan地址掃描工具就會自動掃描整個C子網中的所有工作站，并且自動把每一臺工作站的IP地址和MAC地址對應關系記錄顯示出來。
根據掃描結果，筆者發現C子網中的4號工作站網卡MAC地址就是0F-01-0E-68-F7-90，立即將該工作站從局域網中隔離開來，然后重新嘗試在C子網的工作站中訪問A子網的服務器時，發現先前的網絡掉線現象立即消失了，而且持續半個小時沒有再次發生，很明顯C子網中的4號工作站就是上述網絡故障的“罪槐禍首”。
為了清除C子網中的4號工作站的ARP病毒，筆者立即對安裝在該系統中的殺毒軟件進行了更新，并使用最新版本的殺毒軟件對整個系統進行了徹底地病毒查殺，在漫長的殺毒等待之后，還真從對應的工作站系統中找到了一些網絡病毒，可惜的是殺毒軟件均提示無法刪除病毒。
不得已，筆者只好將該工作站重新啟動到安全運行模式下，并嘗試在該運行模式下重新查殺了一遍病毒，遺憾的是先前能夠發現的網絡病毒這一次居然無法找到了，在萬般無奈之下，筆者只好將故障工作站進行了格式化操作，之后又重新安裝了操作系統，并將該工作站再次接入到C子網中，到現在為止C子網運行一直很正常，至此C子網無規律掉線的網絡故障就被徹底解決了。
小提示：
許多工作站都是在上網瀏覽網頁的時候，不小心感染了各種網絡病毒，為了避免日后在沖浪的時候感染病毒或木馬，我們可以下載MS06-014 中文版系統補丁，下載MS07-017 中文版系統補丁，并將這兩個補丁程序正確安裝到網絡的每一臺工作站系統中，這樣一來工作站中的IE程序就能免疫絕大多數網頁木馬和病毒程序了，那么工作站在瀏覽網頁的時候遭遇各種病毒或木馬攻擊的機率就大大下降了。
【編輯推薦】
