网规备考_第8章 故障分析案例,一套模板打天下

故障题从不单独成卷，而是藏进每道案例大题里送分——也送人上岸。5 大专题、13 个考点，全部按"四段式"模板拆解，照套就能拿分。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ 

一、先看考频：故障题藏在哪里？

故障分析没有独立试卷，它嵌入各主题案例大题中考。近三年的分布非常清晰：

🔥 近三年热点（必须背到条件反射）

📌 答题总纲（所有故障题的万能钥匙）

现象收敛→ 边界界定 → 假设验证 → 根因定位先物理后逻辑、先本地后远端、先底层后上层

📌 统一四段式：计算（有数据先算）→ 分析原因 → 排查步骤 → 解决措施。任何故障题按这四段展开，结构分先拿满。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ 

二、专题7｜物理层与链路层故障（8.1）

▍7.1 接口状态、错误计数与光功率

接口状态速判：physical down → 查线缆/光模块/对端断电；line protocol down → 查速率/双工/聚合不匹配。

三个必背数字：

排查三板斧：reset counters interface清计数→ display interface transceiver查光功率→ OTDR 测光纤。

【教材标杆案例 8.1 试题一】 10G 核心链路固定时段 CRC 错误增高、收光 -18dBm——

错误率 = 12485 / 150485632 ≈ 0.0083%虽低于 0.1%，但已致 TCP 重传升高

固定时段发作的成因：温升致波长漂移功率降 2~3dB、电磁干扰、负载抖动。排查七步：清计数 → 查光功率 → OTDR → 换模块 → 频谱仪 → 温度相关性分析 → 业务迁移验证。预防：换工业级模块、清洁端面、SNMP Trap 告警、跨板卡聚合冗余。

⚠ 易错点误以为"低于 0.1% 即无影响"——时延敏感业务下，低误码同样致命。

▍7.2 VLAN/STP/MAC 漂移与 MTU

• MAC 地址漂移 = 二层环路的典型标志，用display mac-address flapping record追溯

• TCN 风暴使 MAC 老化时间缩短为 15s→ 未知单播洪泛，对策 = 终端端口配 edge-port

• STP 根桥应与 VRRP Master 同机部署

• 单向链路用 UDLD 检测

• MTU 不匹配的典型症状：ping 小包通、大包不通

【2022 卷2 问题3】列举至少三种二层网络攻击：MAC 泛洪、MAC 欺骗、ARP 泛洪/欺骗、广播风暴、BPDU 攻击（任写三种）。

▍7.3 安全措施部署位置与 DHCP 欺骗（高频★）

部署位置口诀：

权限在汇聚、环检在接入、连接数在核心、杀毒在单机防DHCP/ARP欺骗 → 接入层

DHCP 欺骗原理：客户端广播发现、只采信第一个应答（有 DHCP 中继时，本网非法服务器应答更快）。防范 = 接入交换机启用 DHCP Snooping（信任端口 + 绑定表，过滤不可信应答）。

【2015 卷3 问题3 + 教材 8.1 试题二】多个未授权 DHCP 服务器致终端 IP 被改 → 判断为 DHCP 欺骗 → 接入层启用 DHCP Snooping 建绑定表、只放行合法应答；高校网安全措施部署位置按口诀逐条对应。

⚠ 易错点把防 ARP/DHCP 欺骗当成防火墙的功能——它是接入交换机的活。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ 

三、专题8｜路由协议故障（8.2）

▍8.1 OSPF 邻居排障清单与 Router ID 冲突（高频★）

邻居建立失败排查顺序（八项清单）：

物理层→ MTU一致(或mtu-ignore) → IP同网段 → Hello/Dead一致→ Area匹配 → 认证一致 → Router ID全网唯一 → 网络类型匹配

Router ID 冲突的典型症状：邻居卡在 ExStart/Exchange 状态，LSA 无法交换。

【教材标杆案例 8.2 试题三】两台交换机配置后，PC 各自能 ping 通网关但互 ping 失败——分层定位排除二层 → 发现两台 Router ID 均为 1.1.1.1 冲突→ 邻居无法建立、学不到对端网段；整改 = 修改其中一台 Router ID 并重启 OSPF 进程。

💡 技巧"能 ping 通网关但跨网段不通" → 故障在路由层而非二层，别去查 VLAN。 ⚠️ 易错点：被大量配置截图误导去查 Trunk 允许 VLAN——Trunk 只放行互联 VLAN 本就是正确设计。

▍8.2 OSPF 优化四件套（高频★）

【2023 卷2 问题2/3 原题四连问】

⚠ 易错点默认路由 LSA 类型误填 Type 4/7——手动 default-route-advertise走Type 5，NSSA 默认路由才是 Type 7/3。

▍8.3 filter-policy 局限与双点双向重分发环路

LS 协议核心认知：LSA 泛洪 ≠ 路由安装。

• filter-policy import只控本机路由表，不能阻止 Type 5 LSA 继续泛洪给别人

• 要真过滤，必须在 ASBR 引入时过滤

• 重分发环路根治三招：community 标记过滤 + next-hop-self + 高优先级静态路由（仅本地转发）

• 原则：IBGP 学到的路由不再重分发回 IGP

【教材标杆案例 8.2 试题二/四】双 ASBR 重分发，MED 随 Cost 波动致流量互指循环；R2 配 filter-policy 后 R1 为何仍有被过滤的路由？——R2 只滤了本机路由表，仍向 R1 泛洪原始 LSA，R1 正常计算出 O_ASE 路由。

⚠ 易错点路由表证据（R2 无、R1 有）恰恰证明"只滤本机"，别用距离矢量思维误判。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ 

四、专题9｜网络安全设备故障（8.3）

▍9.1 防火墙会话超时与 IPS 失效模式（高频★）

会话超时线索三元组：

telnet 能通 + 应用数秒后断开 + 会话 30s 被清除→ 会话空闲超时 < 应用报文间隔 → 表项删除 → 后续报文被状态检测丢弃

解决：调大会话超时时间，或让应用心跳间隔 < 超时值。

Fail-Open vs Fail-Close（必考对比）：

【教材标杆案例 8.3 试题一/二】 C/S 应用"能连不通"数秒后超时 → 会话超时问题；串联 IPS 在 DDoS 下 CPU 100% 全网中断、攻击停后自动恢复 → IPS 过载 + Fail-Close = 断点，出口应改 Fail-Open 保通。串联设备必须考虑过载旁路。

⚠ 易错点只解释日志缺失、不解释中断机制（Fail-Close 语义），丢主要分值。

▍9.2 IPSec DPD 与 NAT-T 超时

DPD 机制 = 空闲检测 + 重试判死 + 拆 SA。断连原因三类：链路拥塞丢包、设备性能不足、DPD 间隔过短。

案例特有深层机理（最容易漏的一分）：

报文间隔 > NAT UDP 表项空闲超时 → 映射被删 → 后续报文换新端口 → 无法关联原 SA → 隧道重建

对策 = VPN 保活间隔 < NAT UDP 表项超时（NAT-T keepalive，UDP 4500）。

【教材标杆案例 8.3 试题三】日志反复出现"DPD 超时 → SA 删除 → IKE/IPSec SA 重建"——解读为"检测性误拆 + 自动恢复"；原因必须列两个方向：间隔过短误拆 + 间隔过长超 NAT 老化。

⚠ 易错点只答网络拥塞，漏掉 NAT 映射老化这一案例特有机理。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ 

五、专题10｜无线网络故障（8.4）

▍10.1 漫游阈值与 802.11r 空转（高频★）

核心认知：漫游是终端的决策，不是 AP 的。

• 信号差8~12dBm终端才主动漫游；重叠区信号差仅 4dBm，恰恰是"粘滞"的原因

• 802.11r 需首次关联完成 FT 密钥派生，否则漫游退化为完整 802.1X 重认证（数百 ms~1s → VoIP 掉话）

• 辅助手段 = 802.11k（邻居报告）+ 802.11v（切换管理）

【教材标杆案例 8.4 试题一】信号重叠区 VoWiFi 通话 1~2 秒掉话，全网已启用 802.11r——信号差仅 4dBm 未达漫游阈值 → 粘滞；FT 密钥未生成 → 退化为完整 802.1X 重认证 → 语音丢包。解决 = 802.11k/v 引导 + 调整漫游阈值。

⚠ 易错点误以为"启用 802.11r = 快速漫游必然生效"。

▍10.2 DFS 雷达检测与 CAPWAP 单点依赖

DFS 四步流程（背下来直接默写）：

检测雷达→ 停发 → 静默(1~10min) → 切换非DFS信道重发Beacon

• DFS 信道 = 52~144，要求 10s 内撤离、封锁 30min

• 高可靠场景用非 DFS 信道 36~48 / 149~165，慎用 80MHz 带宽

• CAPWAP 脆弱性 = 控制平面集中化的单点依赖：AC 及路径任一环节故障，全网 AP 瘫痪

• 改进 = 本地转发、AC 集群/N+1、本地逃生

【教材标杆案例 8.4 试题二/三】 AP 集体断网后自动恢复（日志显示 DFS 雷达检测，信道 52→149）→ 按四步流程解释中断与自动恢复，规划上锁非 DFS 信道、改 40MHz。防火墙策略变更后分支 AP 批量离线（本地有线正常）→ 定位模板"触发变更 + 隧道告警 + 局部正常 → 跨域策略问题"，第二问必答架构脆弱性。

⚠ 易错点只解释中断、不解释"自动恢复"，丢一半分。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ 

六、专题11｜存储与数据中心设备故障（8.5）

▍11.1 RAID 重构失败（URE）与应急处置（高频★）

• RAID5 = 单盘容错，重构期是第二盘故障的高危窗口

• URE = 重构时读到存活盘坏扇区，单校验解不了两个未知数 → 重构终止

• 原因至少答两种：URE / 重构高压压垮亚健康盘 / 重构被意外中断

• 应急铁律：先禁写→ 保护现场 → 先镜像备份再恢复 → 慎强制上线

• 预防 = RAID6/RAID10 + 全局热备

• 重构只针对已分配空间，未分配空间不参与

【2018 卷2 问题4 + 教材 8.5 试题三】磁盘 0 故障如何处理？已分配 80%、未分配 20% 是否参与重构？

更换同型号磁盘，热备盘自动顶替未分配空间不参与重构（RAID 按已分配空间组建）原因：URE + 第二盘故障（至少两种）应急：禁写→ 保全现场 → 镜像后恢复

⚠ 易错点"未分配空间是否重构"是经典陷阱；只答 URE 一种原因不满足"至少两种"的要求。

▍11.2 集中式存储高可靠措施分层作答模板（高频★）

【2025 卷3 问题2，8 分大题】如何提升集中式存储高可靠性？按五层作答，一层不漏：

外加三条加分项：快照 + 本地/远程复制；BBU/超级电容缓存掉电保护；巡检监控 + 介质健康检查。

💡 技巧8 分题 ≈ 8 个采分点，分层框架能保证不漏点。

▍11.3 FC-SAN 光路与 SSD 缓存穿透

SAN 排障三层定位法：

阵列层(IOPS/延迟) → SAN网络层(端口利用率/缓冲信用) → 主机层(HBA队列深度128~256)

• 定位利器 = 端口 CRC + 收发光功率；短距多模收光 -14.5dBm 即异常（端面污染/弯折半径不足/模块老化）

• 光纤维护口诀：先清洁后检测

• SSD 缓存只加速热点随机 I/O，顺序扫描穿透缓存直击机械盘

• 排查三指标 = 命中率 / %Busy / 延迟，目标命中率≥90%

• 原则：热数据全闪、冷数据机械、分析负载独立承载

【教材标杆案例 8.5 试题一/二】 FC-SAN 数据库 I/O 延迟 2~3ms 飙升至数百 ms（阵列延迟 <1ms）→ 排除法"阵列正常 → 瓶颈在主机-阵列通路 → CRC+光功率佐证光路问题"。大促顺序扫描穿透 SSD 缓存打满 SAS 池 → 答"负载与存储层级不匹配" + 分层/解耦/扩缓存三方案。

⚠ 易错点以为"有 SSD 缓存就不会慢"；优化只答加缓存，漏分层与解耦。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ 

七、最后：3 条抢分心法

1. 四段式结构先行：计算→ 原因 → 排查 → 解决。哪怕原因没答全，结构分先落袋。

2. "自动恢复"必解释：故障题里设备自己好了，往往正是考点（DFS 切信道、SA 重建、IPS 过载恢复）——只答中断不答恢复，铁定丢一半。

3. 数字是采分点：0.1% CRC、-3~-20dBm、15s 老化、8~12dBm 漫游阈值、DFS 52~144、UDP 4500、命中率 90%……能写数字就别写形容词。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─