1. 網(wǎng)關(guān)卡在哪兒為什么所有設(shè)備上網(wǎng)都得靠它做網(wǎng)絡(luò)這行久了總會(huì)遇到一個(gè)特別有意思的問(wèn)題有同事指著交換機(jī)問(wèn)這是不是就是網(wǎng)關(guān)還有剛?cè)胄械呐笥言诜?wù)器上配完IP地址問(wèn)為什么填了一個(gè)叫“默認(rèn)網(wǎng)關(guān)”的東西就能上網(wǎng)了。這些問(wèn)題的核心其實(shí)就一個(gè)沒(méi)把網(wǎng)關(guān)這個(gè)概念放在數(shù)據(jù)通信的完整鏈路里去理解。網(wǎng)關(guān)說(shuō)白了就是本地網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的出入口。你家里的電腦IP是192.168.1.100想訪(fǎng)問(wèn)百度數(shù)據(jù)包不可能憑空飛到百度服務(wù)器上它必須先在本地網(wǎng)絡(luò)里找到一個(gè)“知道路怎么走”的設(shè)備這個(gè)設(shè)備就是網(wǎng)關(guān)。在絕大多數(shù)家庭和辦公場(chǎng)景里這個(gè)設(shè)備就是路由器在企業(yè)里可能是核心交換機(jī)、防火墻也可能是專(zhuān)門(mén)的路由器設(shè)備。而“默認(rèn)網(wǎng)關(guān)”這幾個(gè)字強(qiáng)調(diào)的是“默認(rèn)”兩個(gè)字意思是當(dāng)數(shù)據(jù)包的目標(biāo)地址不在本地網(wǎng)段時(shí)系統(tǒng)不需要做任何判斷直接把包丟給這個(gè)地址就行剩下的事交給它處理。所以你去看任何一臺(tái)設(shè)備的網(wǎng)絡(luò)配置只要是IPv4的靜態(tài)配置基本都有三個(gè)核心項(xiàng)IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)。IP地址是設(shè)備自己的門(mén)牌號(hào)子網(wǎng)掩碼用來(lái)判斷哪些地址和你在同一個(gè)院子里默認(rèn)網(wǎng)關(guān)則是走出院子的那扇大門(mén)。這篇文章我打算把網(wǎng)關(guān)這件事講透從二層和三層通信的原理開(kāi)始再到Windows、Linux和家用設(shè)備上的實(shí)際配置最后聊一些排查網(wǎng)絡(luò)問(wèn)題時(shí)和網(wǎng)關(guān)相關(guān)的坑。適合剛?cè)腴T(mén)網(wǎng)絡(luò)運(yùn)維、搞服務(wù)器部署或者單純想搞懂家里網(wǎng)絡(luò)為什么老出問(wèn)題的人。讀完你至少能回答三個(gè)問(wèn)題網(wǎng)關(guān)到底是什么為什么沒(méi)它不行它出問(wèn)題時(shí)怎么快速定位2. 默認(rèn)網(wǎng)關(guān)與三層通信數(shù)據(jù)包怎么走出本地網(wǎng)絡(luò)2.1 二層通信與三層通信的本質(zhì)區(qū)別要理解網(wǎng)關(guān)必須先理解二層和三層的區(qū)別。打個(gè)比方二層通信就是你在同一個(gè)小區(qū)的樓棟之間串門(mén)你認(rèn)識(shí)每棟樓的具體位置直接走過(guò)去就行不需要問(wèn)路。三層通信是你想去另一個(gè)城市這時(shí)候你不可能認(rèn)識(shí)所有路徑你需要先走到小區(qū)門(mén)口上了高速再由沿途的路牌和導(dǎo)航引導(dǎo)你到達(dá)目的地。在計(jì)算機(jī)網(wǎng)絡(luò)里二層通信依靠MAC地址在同一個(gè)廣播域內(nèi)完成數(shù)據(jù)幀的傳遞。交換機(jī)就是典型的二層設(shè)備它根據(jù)MAC地址表轉(zhuǎn)發(fā)數(shù)據(jù)幀不管IP地址是什么。三層通信依靠IP地址跨越不同的廣播域由路由器根據(jù)路由表決定下一跳走向。區(qū)分二層和三層有一個(gè)非常簡(jiǎn)單的判斷方法源和目標(biāo)的IP地址在不在同一個(gè)網(wǎng)段。在同一個(gè)網(wǎng)段走二層數(shù)據(jù)幀直接封裝目標(biāo)MAC地址發(fā)送不在同一個(gè)網(wǎng)段走三層數(shù)據(jù)幀先發(fā)給網(wǎng)關(guān)由網(wǎng)關(guān)負(fù)責(zé)后續(xù)的轉(zhuǎn)發(fā)。這里有一個(gè)很多新手容易忽略的關(guān)鍵點(diǎn)跨網(wǎng)段通信時(shí)數(shù)據(jù)幀的目標(biāo)MAC地址并不是最終服務(wù)器的MAC地址而是網(wǎng)關(guān)接口的MAC地址。也就是說(shuō)你的電腦發(fā)出的數(shù)據(jù)幀首先“找到”的是網(wǎng)關(guān)然后網(wǎng)關(guān)再把數(shù)據(jù)包重新封裝成新的數(shù)據(jù)幀發(fā)到下一跳。這就是為什么網(wǎng)關(guān)必須配一個(gè)和你同網(wǎng)段的IP否則數(shù)據(jù)幀根本遞不到它手里。2.2 數(shù)據(jù)包路由的關(guān)鍵決策是直連還是找網(wǎng)關(guān)一臺(tái)設(shè)備在收到上層應(yīng)用要發(fā)出的數(shù)據(jù)包時(shí)操作系統(tǒng)內(nèi)核會(huì)做一次非常清晰的路由決策。以L(fǎng)inux系統(tǒng)為例它會(huì)查路由表系統(tǒng)里通常有一條默認(rèn)路由和若干條直連路由。直連路由是指那些和本機(jī)網(wǎng)卡IP處于同一網(wǎng)段的地址默認(rèn)路由通常寫(xiě)作default via 某個(gè)IP也就是默認(rèn)網(wǎng)關(guān)。決策邏輯其實(shí)就三步數(shù)據(jù)包目標(biāo)IP和本機(jī)某個(gè)網(wǎng)卡的IP在同一網(wǎng)段直接通過(guò)該網(wǎng)卡發(fā)送ARP請(qǐng)求解析目標(biāo)IP對(duì)應(yīng)的MAC地址二層直連。目標(biāo)IP不在任何直連網(wǎng)段查路由表里有沒(méi)有更精確的路由條目。沒(méi)有更精確的路由就使用默認(rèn)路由也就是把包交給默認(rèn)網(wǎng)關(guān)。用traceroute或者tracert命令能看到這個(gè)過(guò)程。比如你tracert一個(gè)外網(wǎng)地址第一跳通常就是你自己的網(wǎng)關(guān)IP第二跳才是運(yùn)營(yíng)商側(cè)的第一個(gè)設(shè)備。這就很直觀(guān)地說(shuō)明了你的設(shè)備發(fā)出的所有跨網(wǎng)段流量第一站永遠(yuǎn)是網(wǎng)關(guān)。2.3 默認(rèn)網(wǎng)關(guān)的路由優(yōu)先級(jí)為什么需要“默認(rèn)”有人可能會(huì)問(wèn)既然有路由表那我給每個(gè)外部網(wǎng)絡(luò)都配一條精確路由不就行了為什么一定還要有一個(gè)默認(rèn)網(wǎng)關(guān)這個(gè)問(wèn)題在設(shè)計(jì)大型網(wǎng)絡(luò)時(shí)特別重要。理論上你可以通過(guò)靜態(tài)路由或者動(dòng)態(tài)路由協(xié)議讓設(shè)備學(xué)習(xí)到全網(wǎng)所有網(wǎng)段的路徑但這對(duì)終端設(shè)備來(lái)說(shuō)不現(xiàn)實(shí)。終端設(shè)備數(shù)量龐大網(wǎng)絡(luò)拓?fù)渥兓l繁讓每一臺(tái)PC都維護(hù)全量路由表既不安全也沒(méi)必要。所以設(shè)計(jì)者才引入了默認(rèn)網(wǎng)關(guān)這個(gè)概念本設(shè)備只負(fù)責(zé)自己所在的網(wǎng)段其他所有未知目標(biāo)統(tǒng)一交給默認(rèn)網(wǎng)關(guān)處理。路由匹配還有一個(gè)原則叫最長(zhǎng)前綴匹配。也就是說(shuō)路由表中如果有多個(gè)條目都能匹配目標(biāo)地址前綴更長(zhǎng)的優(yōu)先。舉個(gè)例子如果路由表里同時(shí)有兩條路由一條是10.0.0.0/8走網(wǎng)關(guān)A另一條是10.1.0.0/16走網(wǎng)關(guān)B現(xiàn)在要訪(fǎng)問(wèn)10.1.2.3那走的是網(wǎng)關(guān)B因?yàn)樗ヅ淞烁L(zhǎng)的前綴。只有當(dāng)所有精確路由都匹配不上時(shí)才會(huì)落到默認(rèn)路由頭上。這個(gè)機(jī)制保證了網(wǎng)絡(luò)路徑的靈活性同時(shí)默認(rèn)網(wǎng)關(guān)兜底不至于讓流量無(wú)路可走。2.4 網(wǎng)關(guān)斷了對(duì)內(nèi)網(wǎng)訪(fǎng)問(wèn)有影響嗎這個(gè)問(wèn)題的答案是不影響同網(wǎng)段通信但影響所有跨網(wǎng)段訪(fǎng)問(wèn)。很多人家里遇到這種情況路由器死機(jī)了但兩臺(tái)電腦之間傳文件居然還能傳打印機(jī)還能打。原因就是這兩臺(tái)設(shè)備在同一個(gè)網(wǎng)段它們之間的通信根本不經(jīng)過(guò)網(wǎng)關(guān)只在二層就直接完成了。網(wǎng)關(guān)掛了影響最典型的表現(xiàn)是內(nèi)網(wǎng)地址能通外網(wǎng)全部癱瘓Ping網(wǎng)關(guān)都不通。這時(shí)候排查方向就很明確要么是網(wǎng)關(guān)設(shè)備本身出了故障要么是網(wǎng)線(xiàn)、Wi-Fi連接導(dǎo)致到網(wǎng)關(guān)的二層鏈路斷了。有些朋友在公司網(wǎng)絡(luò)里還會(huì)遇到更奇怪的情況能Ping通網(wǎng)關(guān)但上不了外網(wǎng)。這說(shuō)明網(wǎng)關(guān)還活著二層鏈路也通但網(wǎng)關(guān)設(shè)備本身的出口鏈路有問(wèn)題或者網(wǎng)關(guān)設(shè)備上的NAT、ACL配置出了問(wèn)題。網(wǎng)關(guān)只是“門(mén)”門(mén)開(kāi)著不代表門(mén)外的大路一定暢通。3. 網(wǎng)關(guān)配置實(shí)操?gòu)募矣寐酚善鞯椒?wù)器3.1 Windows平臺(tái)配置靜態(tài)IP與默認(rèn)網(wǎng)關(guān)Windows上的網(wǎng)絡(luò)配置大家最熟悉的界面是“網(wǎng)絡(luò)和共享中心”里的適配器屬性。右鍵網(wǎng)卡選擇“Internet協(xié)議版本4TCP/IPv4”屬性里就能看到三個(gè)輸入框IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)。實(shí)際填寫(xiě)的邏輯很簡(jiǎn)單IP地址填規(guī)劃好的地址子網(wǎng)掩碼決定網(wǎng)段范圍默認(rèn)網(wǎng)關(guān)填和IP地址同網(wǎng)段的路由器或三層交換機(jī)接口地址。注意這里有一個(gè)容易出錯(cuò)的地方網(wǎng)關(guān)的IP和本機(jī)IP如果不在同一個(gè)網(wǎng)段系統(tǒng)會(huì)彈提示說(shuō)“默認(rèn)網(wǎng)關(guān)和IP地址不在同一個(gè)網(wǎng)絡(luò)將不能正常通信”但這只是一個(gè)警告某些情況下點(diǎn)確定還是能保存結(jié)果就是網(wǎng)絡(luò)不通。所以配置后一定要驗(yàn)證一下用ipconfig /all查看實(shí)際生效的配置。想在命令行下快速配置可以用netshnetsh interface ip set address name以太網(wǎng) static 192.168.1.100 255.255.255.0 192.168.1.1這條命令的意思很直白把名為“以太網(wǎng)”的網(wǎng)卡設(shè)置成靜態(tài)IP 192.168.1.100掩碼255.255.255.0網(wǎng)關(guān)192.168.1.1。配完之后再用ipconfig /all確認(rèn)。Windows下還有一個(gè)細(xì)節(jié)如果機(jī)器上同時(shí)有多塊網(wǎng)卡系統(tǒng)會(huì)為每塊網(wǎng)卡都配置一個(gè)網(wǎng)關(guān)這時(shí)候路由表里可能同時(shí)出現(xiàn)兩條默認(rèn)路由。由于Windows的接口躍點(diǎn)數(shù)metric機(jī)制系統(tǒng)會(huì)優(yōu)先選擇躍點(diǎn)數(shù)小的那一條如果配置不當(dāng)就可能出現(xiàn)流量走了錯(cuò)誤的網(wǎng)卡。3.2 Linux平臺(tái)配置默認(rèn)網(wǎng)關(guān)臨時(shí)與永久Linux下配置默認(rèn)網(wǎng)關(guān)的方法很多但核心命令就是ip route。查看當(dāng)前路由表ip route show輸出里通常會(huì)有一行類(lèi)似這樣的內(nèi)容default via 192.168.1.1 dev eth0這一行就是默認(rèn)路由dev eth0表示從eth0這個(gè)網(wǎng)卡出去。如果要臨時(shí)添加默認(rèn)網(wǎng)關(guān)可以直接執(zhí)行ip route add default via 192.168.1.1 dev eth0之所以強(qiáng)調(diào)“臨時(shí)”是因?yàn)檫@條命令只對(duì)當(dāng)前運(yùn)行中的內(nèi)核路由表生效重啟網(wǎng)絡(luò)服務(wù)或者重啟系統(tǒng)以后就沒(méi)了。要永久生效得看發(fā)行版的具體管理方式。傳統(tǒng)CentOS 7及以下版本修改/etc/sysconfig/network-scripts/ifcfg-eth0在里面加一行GATEWAY192.168.1.1然后systemctl restart network。Ubuntu 18.04以上的版本用的通常是Netplan配置文件在/etc/netplan/下典型的寫(xiě)法是network: version: 2 ethernets: eth0: addresses: - 192.168.1.100/24 routes: - to: default via: 192.168.1.1改動(dòng)后用netplan apply生效。這里提醒一個(gè)很多人踩過(guò)的坑Ubuntu的Netplan配置對(duì)縮進(jìn)極其敏感少一個(gè)空格都會(huì)報(bào)錯(cuò)而且報(bào)錯(cuò)信息有時(shí)候還不太直觀(guān)。建議配置完先用netplan generate驗(yàn)證一下語(yǔ)法再執(zhí)行apply。在企業(yè)服務(wù)器上還有一種常見(jiàn)情況是多網(wǎng)卡多網(wǎng)關(guān)。比如服務(wù)器有兩塊網(wǎng)卡一塊接內(nèi)網(wǎng)一塊接外網(wǎng)兩塊網(wǎng)卡都配了網(wǎng)關(guān)這時(shí)候默認(rèn)路由可能只有一條但為了避免路由混亂通常會(huì)給內(nèi)網(wǎng)網(wǎng)卡設(shè)置更高的躍點(diǎn)數(shù)或者用策略路由來(lái)區(qū)分流量走向。這塊內(nèi)容展開(kāi)講可以寫(xiě)一篇長(zhǎng)文但核心原則是默認(rèn)路由只能有一條其他網(wǎng)段走別的網(wǎng)關(guān)可以通過(guò)添加靜態(tài)路由實(shí)現(xiàn)ip route add 10.10.0.0/16 via 10.10.1.1 dev eth13.3 家庭與智能設(shè)備網(wǎng)關(guān)配置注意改掉默認(rèn)密碼家用場(chǎng)景里網(wǎng)關(guān)通常就是運(yùn)營(yíng)商提供的光貓加路由器或者你自己買(mǎi)的一臺(tái)無(wú)線(xiàn)路由器。很多朋友對(duì)“網(wǎng)關(guān)”的理解基本停留在“Wi-Fi密碼”上登錄路由器后臺(tái)這種事可能一年都不會(huì)做一次。最近我?guī)腿颂幚磉^(guò)一個(gè)很典型的案例家里的智能攝像頭突然離線(xiàn)折騰了半天最后發(fā)現(xiàn)是路由器后臺(tái)里“DHCP地址池”和攝像頭的靜態(tài)IP沖突了。這種問(wèn)題如果你不會(huì)看網(wǎng)關(guān)設(shè)備的管理頁(yè)面排查起來(lái)就跟盲人摸象一樣。運(yùn)營(yíng)商附帶的光貓和智能家庭網(wǎng)關(guān)產(chǎn)品出廠(chǎng)時(shí)都有一個(gè)管理地址常見(jiàn)的像192.168.1.1、192.168.100.1用戶(hù)名和初始密碼一般印在設(shè)備背面的標(biāo)簽上。這里一定要強(qiáng)調(diào)拿到設(shè)備后的第一件事就是登錄后臺(tái)把默認(rèn)密碼改掉。有些朋友可能會(huì)問(wèn)初始密碼印在標(biāo)簽上只有我自己能看到不改行不行問(wèn)題在于這類(lèi)設(shè)備的管理協(xié)議和端口往往暴露在整個(gè)局域網(wǎng)里一旦家里有陌生設(shè)備接入或者你的Wi-Fi密碼泄露別人登錄到管理后臺(tái)可以改你的網(wǎng)絡(luò)配置、竊取你的上網(wǎng)數(shù)據(jù)甚至可以把你家的智能設(shè)備變成攻擊跳板。我之前看到有些型號(hào)的智能家庭網(wǎng)關(guān)h5-9管理后臺(tái)的登錄界面是開(kāi)放的用戶(hù)名是固定的user密碼則是默認(rèn)那一串。雖然不同地區(qū)和批次的初始密碼不同但這類(lèi)設(shè)備的通病是很多用戶(hù)根本沒(méi)有修改默認(rèn)密碼的習(xí)慣。所以我的建議是凡是你能接觸到的網(wǎng)絡(luò)設(shè)備路由器、光貓、智能網(wǎng)關(guān)、交換機(jī)登錄后臺(tái)后第一件事就改成強(qiáng)密碼同時(shí)關(guān)閉不必要的遠(yuǎn)程管理功能。這不是什么高深的安全技巧而是最基本的網(wǎng)絡(luò)衛(wèi)生習(xí)慣。3.4 云端與虛擬網(wǎng)絡(luò)場(chǎng)景下的網(wǎng)關(guān)配置要點(diǎn)服務(wù)器上了云之后網(wǎng)關(guān)的配置邏輯其實(shí)沒(méi)有變化但表現(xiàn)形式有點(diǎn)不一樣。以常見(jiàn)的云服務(wù)器為例你在控制臺(tái)配置虛擬私有網(wǎng)絡(luò)的子網(wǎng)時(shí)會(huì)看到一個(gè)類(lèi)似“默認(rèn)網(wǎng)關(guān)”的地址實(shí)際上就是云平臺(tái)自動(dòng)生成的虛擬路由器接口。云服務(wù)器的網(wǎng)卡拿到IP之后系統(tǒng)內(nèi)部一樣會(huì)生成一條默認(rèn)路由指向這個(gè)網(wǎng)關(guān)地址只不過(guò)它在二層上可能并不存在于某個(gè)真實(shí)的物理設(shè)備里而是由虛擬化平臺(tái)模擬出來(lái)的。云環(huán)境里最容易遇到的網(wǎng)關(guān)問(wèn)題是自定義路由和網(wǎng)絡(luò)ACL把網(wǎng)關(guān)出口堵住了。比如你創(chuàng)建了一個(gè)VPC子網(wǎng)網(wǎng)段是10.0.0.0/24里面有一臺(tái)服務(wù)器想訪(fǎng)問(wèn)外網(wǎng)。正常情況下它會(huì)把流量發(fā)給10.0.0.1這個(gè)默認(rèn)網(wǎng)關(guān)。但你如果在路由表里配了一條不合理的路由把目標(biāo)為0.0.0.0/0的流量指向了一個(gè)不存在的下一跳這臺(tái)服務(wù)器瞬間就失聯(lián)了。而且更坑的是如果你用SSH連上去操作的改完路由表網(wǎng)絡(luò)立刻斷你連反悔的機(jī)會(huì)都沒(méi)有。所以不管在物理環(huán)境還是云環(huán)境改網(wǎng)關(guān)和路由配置之前一定要確認(rèn)自己有一條能回到設(shè)備的備用通道。云服務(wù)器的話(huà)控制臺(tái)里的VNC登錄就是你的最后一根救命稻草。物理服務(wù)器的話(huà)帶外管理口就是你的保命通道。沒(méi)有備用通道之前千萬(wàn)別手欠去動(dòng)默認(rèn)路由。4. 網(wǎng)關(guān)相關(guān)的高頻問(wèn)題排查與經(jīng)驗(yàn)技巧4.1 能上QQ打不開(kāi)網(wǎng)頁(yè)先查網(wǎng)關(guān)和DNS這是一個(gè)非常經(jīng)典的故障現(xiàn)象是QQ、微信能正常收發(fā)消息但瀏覽器打不開(kāi)任何網(wǎng)頁(yè)。很多新手一上來(lái)就各種重啟其實(shí)這里的排查路徑非常清晰。QQ這類(lèi)應(yīng)用很多走的服務(wù)器IP是固定的或者通過(guò)少數(shù)幾個(gè)IP通信數(shù)據(jù)包能不能到達(dá)取決于網(wǎng)絡(luò)三層連通性。而瀏覽器打開(kāi)網(wǎng)頁(yè)第一步要把域名解析成IP這個(gè)工作依賴(lài)于DNS服務(wù)器。問(wèn)題很可能就出在DNS上而不是網(wǎng)關(guān)上。排查方法是先Ping一個(gè)已知的IP地址比如Ping 223.5.5.5這個(gè)地址是阿里公共DNS服務(wù)器IP。如果Ping通了說(shuō)明到外網(wǎng)的鏈路是通的網(wǎng)關(guān)沒(méi)有問(wèn)題接著就要檢查DNS配置?？梢杂胣slookup www.baidu.com看看能不能解析出IP。如果不能解析把DNS改成223.5.5.5或119.29.29.29再試基本就能解決。反過(guò)來(lái)如果Ping 223.5.5.5都不通那就回到網(wǎng)關(guān)這條線(xiàn)上繼續(xù)排查先Ping網(wǎng)關(guān)地址通不通。網(wǎng)關(guān)也不通就是二層鏈路的問(wèn)題檢查網(wǎng)線(xiàn)、Wi-Fi信號(hào)、交換機(jī)端口狀態(tài)。網(wǎng)關(guān)通而外網(wǎng)不通那問(wèn)題大概率在網(wǎng)關(guān)設(shè)備本身的出口或者是網(wǎng)關(guān)設(shè)備上的NAT沒(méi)做。4.2 網(wǎng)關(guān)地址沖突與ARP問(wèn)題分析網(wǎng)關(guān)地址沖突是辦公網(wǎng)絡(luò)里一個(gè)隱蔽且惡心的故障。癥狀是網(wǎng)絡(luò)時(shí)通時(shí)斷嚴(yán)重的時(shí)候整個(gè)網(wǎng)段所有設(shè)備都上不了網(wǎng)但過(guò)一會(huì)兒又自己恢復(fù)了。這種現(xiàn)象往往不是網(wǎng)關(guān)設(shè)備本身壞了而是網(wǎng)絡(luò)里出現(xiàn)了一個(gè)和網(wǎng)關(guān)相同IP的設(shè)備。舉個(gè)例子網(wǎng)關(guān)本來(lái)是192.168.1.1結(jié)果有人把自己電腦的IP也手動(dòng)設(shè)成了192.168.1.1。這樣一來(lái)整個(gè)局域網(wǎng)里的ARP緩存表就亂了。有些設(shè)備學(xué)到的是真實(shí)網(wǎng)關(guān)的MAC地址有些設(shè)備學(xué)到的是那臺(tái)電腦的MAC地址。數(shù)據(jù)包發(fā)給前者能正常出去發(fā)給后者直接就丟了。排查這個(gè)問(wèn)題最直接的辦法是查看ARP表。在Windows上執(zhí)行arp -a在Linux上執(zhí)行ip neigh show重點(diǎn)看192.168.1.1對(duì)應(yīng)的MAC地址。如果發(fā)現(xiàn)網(wǎng)關(guān)MAC地址頻繁變化或者和你從路由器后臺(tái)看到的MAC地址對(duì)不上基本就可以判斷是ARP沖突。再進(jìn)一步斷開(kāi)那臺(tái)可疑設(shè)備網(wǎng)絡(luò)就會(huì)恢復(fù)正常。防范這種問(wèn)題有幾個(gè)實(shí)用手段。第一在網(wǎng)關(guān)設(shè)備上做IP-MAC綁定這是最有效的方法但維護(hù)成本比較高。第二在交換機(jī)上配置DHCP Snooping和動(dòng)態(tài)ARP檢測(cè)這個(gè)適合有管理型交換機(jī)的場(chǎng)景。第三純靠管理手段規(guī)定所有設(shè)備必須用DHCP分配IP不允許手動(dòng)配置靜態(tài)IP但實(shí)際執(zhí)行起來(lái)總有人不配合。4.3 兩層網(wǎng)關(guān)場(chǎng)景為什么Ping不通外網(wǎng)還有一種結(jié)構(gòu)很常見(jiàn)家里或者小辦公室里串了兩臺(tái)路由器。光貓撥號(hào)上網(wǎng)再接一臺(tái)無(wú)線(xiàn)路由器無(wú)線(xiàn)路由器再分線(xiàn)給一臺(tái)交換機(jī)或者另一臺(tái)路由器。如果配置不當(dāng)就會(huì)出現(xiàn)一種很迷惑的現(xiàn)象內(nèi)網(wǎng)設(shè)備能獲取到IP也能打開(kāi)路由器管理頁(yè)面但Ping外網(wǎng)就是不通。問(wèn)題往往出在第二層路由器的WAN口和LAN口配置上。正常做法是第二臺(tái)路由器應(yīng)該設(shè)置成“動(dòng)態(tài)IP上網(wǎng)”由第一臺(tái)路由器給它分配一個(gè)內(nèi)網(wǎng)地址這樣第二臺(tái)路由器的WAN口就相當(dāng)于一臺(tái)普通設(shè)備接在第一臺(tái)的內(nèi)網(wǎng)里。如果你手動(dòng)把第二臺(tái)路由器的WAN口設(shè)置成和LAN口同一個(gè)網(wǎng)段比如第一臺(tái)是192.168.1.1第二臺(tái)LAN口是192.168.2.1但WAN口手填成了192.168.1.200這看起來(lái)沒(méi)問(wèn)題實(shí)際上如果第二臺(tái)路由器默認(rèn)開(kāi)啟了NAT流量從內(nèi)網(wǎng)發(fā)到網(wǎng)關(guān)192.168.2.1再由它NAT轉(zhuǎn)發(fā)到WAN口下一跳應(yīng)該是192.168.1.1。但有些設(shè)備在這種模式下WAN口的路由和LAN口的直連路由會(huì)沖突導(dǎo)致數(shù)據(jù)包找不到出口。更常見(jiàn)的情況是第二臺(tái)路由器沒(méi)有改LAN口地址默認(rèn)也是192.168.1.1和第一臺(tái)沖突了。這樣整個(gè)網(wǎng)絡(luò)里會(huì)出現(xiàn)兩個(gè)192.168.1.1ARP混亂設(shè)備一會(huì)兒連到這臺(tái)一會(huì)兒連到那臺(tái)。我處理過(guò)好多起這種“時(shí)不時(shí)斷網(wǎng)”的故障最后都是改成單層NAT結(jié)構(gòu)解決第二臺(tái)路由器關(guān)閉DHCPLAN口改成和第一臺(tái)不同網(wǎng)段的地址所有終端都接在LAN口之下由第一臺(tái)路由器統(tǒng)一分配IP和管理網(wǎng)關(guān)。4.4 通過(guò)網(wǎng)關(guān)排查設(shè)備ARP表與抓包實(shí)戰(zhàn)有時(shí)候我們需要在局域網(wǎng)里找一臺(tái)設(shè)備。很多人第一反應(yīng)是裝一堆掃描工具其實(shí)利用網(wǎng)關(guān)自己就能做不少事。登錄到網(wǎng)關(guān)設(shè)備的管理后臺(tái)查看DHCP客戶(hù)端列表能看到所有分配到IP的設(shè)備。但靜態(tài)IP設(shè)備就不會(huì)出現(xiàn)在這個(gè)列表里這時(shí)候就需要借助ARP表了。在網(wǎng)關(guān)設(shè)備上執(zhí)行類(lèi)似show ip arp的命令不同廠(chǎng)商命令不同可以看到所有和網(wǎng)關(guān)發(fā)生過(guò)三層通信的設(shè)備的IP和MAC對(duì)應(yīng)關(guān)系。如果你知道目標(biāo)設(shè)備網(wǎng)卡廠(chǎng)商的名字可以查一下MAC地址的前六位十六進(jìn)制數(shù)就能知道是哪個(gè)品牌。這個(gè)方法特別適合找那種“知道有設(shè)備接入但找不到在哪”的情況。如果還想看得更細(xì)可以用抓包工具。在Linux網(wǎng)關(guān)上跑tcpdump抓ARP請(qǐng)求和回應(yīng)看看誰(shuí)在占用某個(gè)IP。比如tcpdump -i eth0 arp and host 192.168.1.1這條命令監(jiān)聽(tīng)eth0網(wǎng)卡上的ARP報(bào)文過(guò)濾條件是與192.168.1.1相關(guān)的。當(dāng)有設(shè)備試圖和這個(gè)IP通信時(shí)你能看到ARP請(qǐng)求是誰(shuí)發(fā)出的也能看到回應(yīng)的是哪個(gè)MAC地址這樣就很容易定位到占用網(wǎng)關(guān)IP的設(shè)備。5. 擴(kuò)展智能家居網(wǎng)關(guān)、PLC遠(yuǎn)程網(wǎng)關(guān)、AI網(wǎng)關(guān)都是怎么回事5.1 智能家居網(wǎng)關(guān)協(xié)議轉(zhuǎn)換是核心聊完傳統(tǒng)的網(wǎng)絡(luò)三層網(wǎng)關(guān)必須提一下現(xiàn)在特別火的智能家居網(wǎng)關(guān)。很多朋友家里裝了小米或者別的品牌的智能設(shè)備發(fā)現(xiàn)它們都要求有一個(gè)“網(wǎng)關(guān)”。這個(gè)網(wǎng)關(guān)和前面說(shuō)的路由網(wǎng)關(guān)是一回事嗎物理形態(tài)上它可能像一個(gè)小的Wi-Fi擴(kuò)展器插在插座上但它的核心職責(zé)是協(xié)議轉(zhuǎn)換。智能設(shè)備很多用的是Zigbee、藍(lán)牙Mesh、Wi-Fi等不同協(xié)議手機(jī)不可能每一種協(xié)議都直接支持所以需要一個(gè)中間設(shè)備把各種協(xié)議的設(shè)備統(tǒng)一接入到家庭局域網(wǎng)里再通過(guò)App遠(yuǎn)程控制。比如熱搜詞里提到的Python加miio連接小米網(wǎng)關(guān)實(shí)際上就是用Python的miio庫(kù)去調(diào)用小米網(wǎng)關(guān)的局域網(wǎng)接口從而實(shí)現(xiàn)程序化控制智能家居設(shè)備。一個(gè)典型的調(diào)用示例如下from miio import Gateway gateway Gateway(192.168.2.30, token字符串) gateway.set_led(False)這里的192.168.2.30就是網(wǎng)關(guān)在局域網(wǎng)里的IP地址后面的token是驗(yàn)證身份用的需要在米家App里通過(guò)特殊方式獲取。這個(gè)場(chǎng)景里你還是得先保證電腦和小米網(wǎng)關(guān)在同一個(gè)網(wǎng)段并且網(wǎng)絡(luò)三層是通的否則再好的庫(kù)也連不上。5.2 PLC遠(yuǎn)程網(wǎng)關(guān)與工業(yè)場(chǎng)景工業(yè)場(chǎng)景里的遠(yuǎn)程網(wǎng)關(guān)也很有意思。像熱搜詞里出現(xiàn)的“200smartPLC遠(yuǎn)程網(wǎng)關(guān)”指的就是讓西門(mén)子S7-200 SMART系列PLC能夠上云或者被遠(yuǎn)程訪(fǎng)問(wèn)的工業(yè)網(wǎng)關(guān)設(shè)備。這類(lèi)網(wǎng)關(guān)通常放在PLC和路由器之間通過(guò)以太網(wǎng)連接PLC然后借助4G或者有線(xiàn)網(wǎng)絡(luò)接入云平臺(tái)。它的核心價(jià)值在于協(xié)議解析和數(shù)據(jù)轉(zhuǎn)發(fā)。PLC的通信協(xié)議大多是私有協(xié)議直接把這個(gè)流量扔到公網(wǎng)上去既不能跨網(wǎng)段訪(fǎng)問(wèn)也不安全。遠(yuǎn)程網(wǎng)關(guān)會(huì)把PLC側(cè)的請(qǐng)求轉(zhuǎn)換成物聯(lián)網(wǎng)平臺(tái)能夠理解的MQTT等協(xié)議再把平臺(tái)的控制指令反向翻譯成PLC協(xié)議。這和家用智能網(wǎng)關(guān)的邏輯其實(shí)是一模一樣的都是做協(xié)議轉(zhuǎn)換都是讓原本只能在本地網(wǎng)絡(luò)里通信的設(shè)備獲得跨越網(wǎng)絡(luò)邊界的能力。這類(lèi)網(wǎng)關(guān)配置的時(shí)候重點(diǎn)要關(guān)注網(wǎng)口IP和PLC本體IP是否沖突上行的云平臺(tái)接入憑證是否有效以及防火墻是否放行了對(duì)應(yīng)的端口。因?yàn)楣I(yè)環(huán)境對(duì)穩(wěn)定性要求高所以這種設(shè)備一般還支持看門(mén)狗和斷網(wǎng)續(xù)傳功能確保通信鏈路出問(wèn)題時(shí)數(shù)據(jù)不丟失。5.3 從BPMN網(wǎng)關(guān)到AI網(wǎng)關(guān)同一詞匯的不同語(yǔ)義最后順帶提一句在百度搜索“網(wǎng)關(guān)”這個(gè)詞你會(huì)看到“BPMN流程圖網(wǎng)關(guān)使用”“AI網(wǎng)關(guān)”這類(lèi)流行語(yǔ)。這其實(shí)是同一個(gè)詞匯在不同語(yǔ)境下的多義現(xiàn)象。BPMN里的網(wǎng)關(guān)指的是流程分支匯聚的邏輯節(jié)點(diǎn)比如排他網(wǎng)關(guān)、并行網(wǎng)關(guān)用來(lái)控制流程路徑。它跟網(wǎng)絡(luò)完全沒(méi)關(guān)系。AI網(wǎng)關(guān)則是一個(gè)新概念通常指在大模型應(yīng)用和業(yè)務(wù)系統(tǒng)之間做請(qǐng)求路由、鑒權(quán)、限流、模型切換的一層中間代理類(lèi)似API網(wǎng)關(guān)的語(yǔ)義。我的建議是在溝通和查閱資料時(shí)一定要先確認(rèn)對(duì)方說(shuō)的“網(wǎng)關(guān)”是哪個(gè)層面上的。我之前就見(jiàn)過(guò)一個(gè)用戶(hù)說(shuō)家里的智能網(wǎng)關(guān)有問(wèn)題結(jié)果查了半天發(fā)現(xiàn)是BPMN流程配置的問(wèn)題兩人完全是在雞同鴨講。先明確語(yǔ)境能省掉大量排查時(shí)間。寫(xiě)在最后網(wǎng)關(guān)這東西說(shuō)到底就是一條“默認(rèn)路徑”。網(wǎng)絡(luò)設(shè)備的眼里世界就分兩種網(wǎng)絡(luò)自己所在的局域網(wǎng)和需要通過(guò)網(wǎng)關(guān)才能到達(dá)的其余世界。搞懂網(wǎng)關(guān)的配置和排查方法你就掌握了網(wǎng)絡(luò)排障的第一把鑰匙。我這些年處理過(guò)的網(wǎng)絡(luò)故障里至少有三成的問(wèn)題是網(wǎng)關(guān)配置錯(cuò)誤或者網(wǎng)關(guān)設(shè)備異常。很多故障在最終定位之前看起來(lái)都像玄學(xué)。但只要你按照“先看二層再看三層最后看網(wǎng)關(guān)策略”的思路去排查大多數(shù)問(wèn)題都能在十分鐘內(nèi)找到方向。最后分享一個(gè)小技巧在給任何一臺(tái)設(shè)備配完靜態(tài)IP、掩碼和網(wǎng)關(guān)之后不要急著去測(cè)試更遠(yuǎn)的目標(biāo)先Ping一下網(wǎng)關(guān)。網(wǎng)關(guān)通了說(shuō)明你的基礎(chǔ)配置已經(jīng)正確接下來(lái)再往外擴(kuò)展排查范圍。這個(gè)習(xí)慣能讓你的排障效率提高一倍。