事情起因:一医院客户机房搬迁,搬迁之后,发现AD设备无法启动,联系销售(带测试调试设备)、技术赶往现场。
解决方案: 1、原AD设备开机没反应,更换电源后依旧如此,初步断定是硬件故障。 2、配置测试设备,保证用户正常上网需求。 问题来了,AD上架配置好策略后,发现起初PC终端上网正常,但过15分钟左右,网页无法打开(一般网站的一级链接没问题,但二级链接无法打开;或者网站首页也打不开),QQ也无法登录。 1、从AD命令行控制台ping公网域名及公网IP。通信正常。 2、从问题客户端ping公网域名及公网IP。通信正常。 为什么能解析出地址,通信正常却无法访问呢? 1、重新检查AD策略。除网络接口、地址转换、静态路由和默认的智能路由保留外,将所有策略禁用。 2、会不会是中间设备的原因呢?PC到公网、PC到AD的LAN口没有丢包,且中间设备故障前没有更改过策略。 如果PC直连AD,问题是不是就解决了? 1、PC直连AD的LAN口,配置与LAN口同网段IP。 结果:问题依旧。 会不会是公网链路问题? 1、将外网链路中的其中一条连接到PC的网口上。 结果:PC上网正常。 重启设备试试呢? 1、将AD设备重启。 结果:重启后,一段时间(10-15分钟)内正常,之后又出现上述描述的现象。
结论:故障点肯定是AD设备,但不知道是配置的问题还是设备的问题。
黔驴技穷,找400来协助。 400排错步骤: 1、了解故障现场。 2、检查AD设备配置。 3、打开pshell抓包。发现只有故障PC发往公网的请求包,没有公网返回的应答包。 4、更改AD智能路由策略,将所有流量放到一条链路上;上网行为管理(AD与核心交换机之间)开直通;开启DNS代理。 5、故障PC测试,上网正常。将步骤4的策略逐步关闭,关闭一个看PC访问网站的现象。最终确定是DNS代理没有开启的原因。
分析出来的最终原因,即终端用户没有配置好DNS,需要AD代理用户的DNS请求,用户才能正常上网。 我始终不太认可。为什么呢?因为PC终端配置的地址是公网的DNS,而且是一般北京的小伙伴都知道的联通DNS:202.106.0.20。正常用户不需要AD代理,直接通过公网的DNS上网应该是没有问题的。难道我出口设备不是AD,使用AF、AC或者其他没有DNS代理的设备,内网用户就无法上网了吗? 内网PC的IP参数:
导致断网的DNS代理: 聪明的小伙伴们,你们觉得会不会是客户独特的网络环境决定了必须要配置DNS代理呢?
|