安全防护

周一早上九点十分，工位上的电话陆续响起来：“网断了。”不是某个系统打不开，是整个园区——内外网全断，办公终端拿不到地址，Wi-Fi 连上了也没网，服务器远程不上，会议室的视频会议直接黑屏。

全网断网是最考验人的故障：影响面大、时间压力大、领导站在旁边。这时候最忌讳的就是“到处乱试”。下面按当时实际的处置顺序，从易到难复盘一遍。

一、先做现象收集，别急着动手

断网的原因可能千差万别，但第一步永远是收集现象，用现象缩小范围：

• 影响范围：是整栋楼、某个楼层，还是某几个部门？
• 影响业务：是全部业务中断，还是只断了外网、内网互通正常？
• 终端表现：是显示“无网络访问”“正在获取地址”，还是拿到了 169.254 段地址？
• 无线情况：Wi-Fi 能否连上，连上后能否拿到地址？
• 起始时间：是完全断，还是间歇性丢包，从什么时候开始的？

如果终端拿到的是 169.254.x.x 这样的自动私有地址，基本可以判定 DHCP 没有响应；如果拿到正常地址但网关不通，问题更可能在三层或上行链路。

二、由易到难：七步定位与排查对照表

1. 看出口与运营商：登录出口防火墙或路由器，查看外网口与专线状态，ping 运营商网关，同时留意是否有“昨晚割接”“光缆施工”的通知。
2. 看核心设备：检查核心交换机与出口设备的 CPU、内存、温度，查看是否有端口 down、光模块告警、环路告警。
3. 看 DHCP：确认服务是否存活、地址池是否耗尽、中继配置是否正确。地址池打满是中小企业最常见的“全网断网”原因之一。
4. 看二层：检查是否有环路或广播风暴，查看端口流量是否异常飙高，观察 STP 状态是否震荡。
5. 看三层：检查路由表、网关地址、NAT 策略、ACL 是否被误改，查看策略变更记录。
6. 看 DNS：能 ping 通公网 IP 但打不开网页，通常是 DNS 问题，检查内网 DNS 服务与外部解析。
7. 看认证与准入：若部署了准入控制或上网行为管理，检查认证服务是否异常导致全网被阻断。

三、本次定位过程与修复

本次故障的实际走向是：先确认不是运营商问题——出口设备外网口正常、运营商网关可通，排除链路；再看核心交换机，发现两个接入端口流量异常，且 STP 拓扑在短时间内反复变化。到弱电间排查，发现前一天有部门自行搬动工位，把一根网线的两端都插在了同一台接入交换机上，形成物理环路，广播风暴把上行链路打满，导致全网瘫痪。

修复动作：

1. 立即拔掉可疑环路线缆，先恢复业务，再追责任。
2. 在接入交换机上启用环路检测与广播风暴抑制，配置端口环路自动 shutdown。
3. 开启 STP 并合理设置边缘端口，避免终端接入引起拓扑震荡。
4. 恢复后逐项验证：终端获取地址、内网互通、外网访问、DNS 解析、关键业务系统登录。
5. 做好记录：故障时间线、影响范围、根因、处置动作、改进项。

避坑提示：先恢复，再追责。现场压力大时，人的本能是先找出“是谁干的”，但正确的顺序永远是“先让业务通起来”。拿到恢复时间，才有资格谈复盘。

四、复盘后补上的长期措施

• 接入层加固：启用环路检测、广播风暴抑制、BPDU 防护，终端端口设为边缘端口。
• 变更管控：工位网络调整由 IT 统一登记，禁止员工自行跨接网线。
• 配置备份：变更前先备份，变更窗口避开业务高峰并预留回滚方案。
• 基础监控：出口带宽、核心设备 CPU 与内存、关键端口流量与错误包、DHCP 地址池使用率。
• 应急手册：明确“先查什么、谁联系运营商、谁负责对外口径”，让值班人员照着做。

避坑提示：没有监控的排查全靠猜。这次如果能早半小时看到“某端口流量跑满”的告警，就不会等到全楼报障。监控不是锦上添花，是把定位时间从小时级压到分钟级的唯一办法。

小结

全网断网的处置，拼的不是技术深度，而是顺序和纪律。先收集现象定范围，再由易到难逐层排除：出口链路、核心设备、DHCP、二层、三层、DNS、认证。本次根因只是一根被自己接成环的网线，真正让它演变成全网事故的，是缺少环路防护和监控告警这两道基础防线。