计算机网络 · 从零开始

外观

为什么网络会出现“能 ping 通小包、发文字正常，但只要点开网页就永远卡死”的诡异故障？ ​

如果你去问一位拥有十年以上经验的网络老工程师：

“在你的职业生涯中，哪种故障最让你头皮发麻、印象最深？”

他们几乎都会给出惊人一致的答案：

  • 不是那种“整根网线断了、直接全红报错”的明显故障；
  • 而是那些**“看似通了、其实半死不活，现象极其矛盾古怪”的隐蔽故障**！

本课我们将像法医尸检一样，深度解剖企业网与数据中心历史上最著名的四大疑难杂症！

学完本课后，你将能够：

  1. 诊断 二层环路引发广播风暴的标志性信号——MAC Flapping（MAC 漂移） 与急救方案。
  2. 识破 局域网针对网关的 ARP 欺骗与毒化劫持。
  3. 彻底揭秘 互联网最经典也是大赛必考的 “MTU 黑洞” 机制与 TCP MSS 钳制急救法。
  4. 定位 路由黑洞与回程路径缺失导致的“去得去、回不来”非对称丢包。

1. 疑难杂症一：二层环路风暴与 MAC 漂移 ​

网络四大经典疑难杂症排查与急救指南

(1) 故障现象 ​

  • 整个办公室的电脑突然同时断网；
  • 机房核心交换机面板上，成百上千个指示灯以最高频率疯狂爆闪；
  • 交换机控制台敲命令卡顿长达十几秒，CPU 使用率直冲 100%！

(2) 根因与诊断证据 ​

  • 根因：某个员工私自带了一个小傻瓜交换机插在工位下，不小心将同一根网线的两头同时插在了同一个交换机上，或者两条上行线缆形成了物理闭环；而边缘接入端口没有开启 STP BPDU 保护。
  • 诊断黄金证据：登录交换机查看日志系统，发现大量密集打印：
    text
    %Mar 15 10:24:02 2026 Huawei %%01MAC/4/MAC_FLAPPING:
MAC move detected: mac 00e0-fc12-3456 moved from GE0/0/1 to GE0/0/2 in VLAN 10!
    同一个 MAC 地址在 1 秒内在两个物理接口之间来回狂跳数百次！这正是以太网帧在环路中无限打转的铁证！

(3) 急救处方 ​

  1. 立即根据日志提示，拔掉报警接口（如 GE0/0/2）上的网线；
  2. 全局启用 STP，并将连接所有终端的接口配置为边缘端口并开启保护：
    text
    [Huawei-GigabitEthernet0/0/2] stp edged-port enable
[Huawei] stp bpdu-protection

2. 疑难杂症二：ARP 欺骗与网关毒化 ​

(1) 故障现象 ​

  • 局域网内大量员工反馈网络极其不稳定，时不时弹出未知的恶意广告；
  • 某些敏感电脑上的银行登录密码发生失窃。

(2) 根因与诊断证据 ​

  • 在受害主机上打开命令行，运行 arp -a：
    text
    Internet 地址         物理地址               类型
192.168.1.1          00-50-56-c0-00-08     动态  <-- 正常网关 MAC
192.168.1.100        00-50-56-c0-00-08     动态  <-- 黑客电脑 MAC
    震惊地发现：网关 192.168.1.1 的 MAC 地址，竟然和隔壁黑客电脑 192.168.1.100 的 MAC 一模一样！ 内网电脑的流量全被欺骗引流到了黑客电脑中，由黑客嗅探截获。

(3) 急救处方 ​

在接入交换机上全面启用 DHCP Snooping + DAI（动态 ARP 检测）：

text
[Huawei] dhcp enable
[Huawei] dhcp snooping enable
[Huawei-GigabitEthernet0/0/24] dhcp snooping trusted   # 上行连接真实网关口设为信任
[Huawei-Vlan10] arp anti-attack check user-bind enable # 开启 DAI 严格核验

3. 疑难杂症三：网络界头号幽灵——MTU 黑洞 ​

(1) 诡异的故障现象（大赛最高频排障题） ​

用户通过拨号宽带或 IPsec VPN 远程办公：

  • 执行 ping 114.114.114.114，时延极低，0% 丢包，爽快通畅！
  • 挂着微信，收发纯文字消息完全秒发秒回；
  • 但只要用浏览器打开公司内部财务 ERP 系统、打开淘宝网页、或者下载超过 100KB 的文件，页面就会一直转圈卡死，最终提示“连接超时”！

(2) 幕后黑手：MTU 与 DF 标志位 ​

在第 20 课中我们学过：以太网默认 MTU 为 1500 字节。

  1. 额外开销：当报文经过企业出口时，被封装了 IPsec VPN 头部 或 PPPoE 头部（额外增加了数十字节），导致中间链路的最大允许 MTU 缩小到了 1420 字节；
  2. 禁止分片（DF=1）：操作系统为了性能，在发出的所有 TCP 数据包 IP 头中，强制设置了 DF = 1（Don't Fragment，严禁分片）；
  3. 静默丢弃与差错被拦：
    • 当客户端发出的 1500 字节大网页数据包到达 VPN 路由器时，路由器发现包太大且严禁分片，只能将其狠心丢弃；
    • 路由器本想给客户端发回一个 ICMP 差错报文（Type 3 Code 4：“包太大了，请缩小后再发”）；
    • 不幸的是，中间很多安全防火墙因为误把 ICMP 当作网络探测攻击，把这个救命的差错报文给直接拦截过滤掉了！
  4. 惨剧发生：客户端完全收不到 ICMP 报错，只知道自己发的大包石沉大海；客户端一次又一次苦苦超时重传，大包一次又一次被静默丢弃，形成一个无声吞噬大包的 “MTU 黑洞”！

(3) 终极解法：出口 TCP MSS 钳制 ​

网络工程师不需要去改动每一台员工的电脑，只需在出口路由器或防火墙的外网口上，开启 MSS 钳制（MSS Clamping）：

text
[Huawei-GigabitEthernet0/0/1] tcp mss 1400
  • 防火墙在侦听到客户端发起 TCP 三次握手时，强行把双方协商的 MSS（最大段大小）修改为 1400 字节；
  • 客户端和服务端从此乖乖将每个数据包限制在 1400 字节以内，加上 VPN 头部也不会超过 1500 字节，大网页秒开恢复！

4. 课堂小结与真题实战 ​

  1. 二层环路风暴最核心的诊断依据是交换机日志大量报出 MAC Flapping（MAC 漂移）。
  2. ARP 欺骗利用了 ARP 无认证缺陷，网关 MAC 被篡改伪造；交换机部署 DHCP Snooping + DAI 彻底根治。
  3. “能发文字小包、打不开大网页”是典型的 MTU 黑洞，根本原因是包超大被丢且 ICMP 报错被挡；通过在出口开启 TCP MSS 钳制 一招制敌！

华为 ICT 大赛真题精练 ​

华为 ICT 大赛 2025–2026 省复赛样题 · 真题 · 单选

某企业分支通过 VPN 访问总部业务系统，工程师排查发现：客户端 ping 网关和服务器（小包）完全正常，微信纯文字聊天也顺畅，但只要打开公司内部大型财务系统网页或下载大文件附件，页面就会一直卡在加载中并最终超时。导致该现象最可能的技术根因是什么？

真题衍生 · 考点避坑 ​

真题衍生 · 判断题 · 单选

当网络工程师在华为交换机日常巡检中发现日志频繁大量打印“MAC Flapping detected on interface GigabitEthernet0/0/1 and GigabitEthernet0/0/2”告警时，说明网络中大概率发生了严重的二层环路或广播风暴。