网络路由诊断技术

1、TCP/IP网络路由诊断技术 摘要：本文论述了在TCP/IP网络不通的情况下的故障诊断，着重讨论了由于路由设置上问题造成的软故障诊断以及一些常见故障现象和对策。一. 网络故障定性当遇到计算机网络无法连通、网络应用程序无法工作时，我们就需要找出问题之所在。一般来讲，所出现的问题不外乎两种情形：网络本身无法连通或是计算机软件的故障（包括应用软件和网络驱动程序等故障）。当然也存在同时牵涉到两个方面的可能性，但这是罕见的，并且一般只是与性能问题有关而不会导致无法连通，所以通常不予考虑。要区分问题究竟出在那个方面，最基本的方法也就是我们最常用的ping命令：如果能够ping通，那么问题就肯定出

2、在软件方面，如果ping不通，问题则出在网络上。在这点上只有两点例外需要注意：一. 是路由中如有经过象64K或56K这样低速连接的情形，当其它计算机有很大的流量通过时，数据包往返传输的时延有可能要超过4、5秒钟以上、并且出现丢包，由于一般ping的接收等待时间只有1到1.5秒，这时候就会出现ping不通的假象（应用程序也可能会出现无法连接的情况），办法是ping时加一个时延参数再试：        ping <目的地址> -w 6000 （Windows格式）   

3、0;    ping <目的地址> -i 6 （Compaq Tru64、Digital UNIX和 Linux）        ping <目的地址> 6 （3Com路由器格式）        对于cisco路由器，需进入enable模式后ping回车再输入参数。这样在程序认为超时之前允许有6秒的时延。根据经验，在这种情况下如果发出了十个包还没有响应，就可以基本认定是网络

4、不通了。二. 是在Internet上有极少数主机被设置成对ping数据包不作响应，这时候就不能用ping命令来诊断了，但在内部网上是不大可能有人这样做的。另一种可能是在网络路由中设有对特定TCP/UDP端口过滤的防火墙，这时候虽然ping也能ping通，某些应用程序却不能连通，这种情况对于这一端来说，就和对方的服务器程序没有运行完全一样，无法区分。但是如果对方也参与诊断的话，和对方本地局域网的应用检查结果相比较就可以知道问题之所在。最近由于病毒的因素，内部网上也开始封ICMP包（ping和trace route），这给网络故障诊断带来了很大的麻烦。这时候可以通过尝试应用能否连接测试连通性（如w

5、eb、ftp、telnet、特定应用程序或扫描对方端口），但只有能连说明是好的，连不通则相对缺乏诊断意义。如果通过ping确诊了是网络不通，下一步就是要查出问题出在网络的那个地方，本文只论述网络方面故障的诊断和修复，不讨论软件方面的问题。不过在进行这一步工作之前，我们还是要先明确一些TCP/IP网络的基本概念。 二. TCP/IP网络传输基本概念1. 首先TCP/IP网络的传输基础是基于IP数据包转发的无连接传输，也就是说在TCP/IP网络中传输的只是IP数据包，不事先建立点到点的连接，而且IP包的传送是一跳一跳从路由器到路由器接力传送的，每一跳也只管转发到下一节点，跳与跳之间在传输上是没有关

6、联的。在每个IP数据包头中都有一个目的IP地址，路由器只根据这个目的地址就可以决定应该把IP包转发到哪个相邻的路由器或主机，在每个路由器和主机中都有一个路由表，根据目的IP地址对照这个表就可以决定IP包的转发方向，该路由表只记录转发的下一跳地址而不是全部路径。一般只有象防火墙这样的设备才检查IP包的源IP地址和端口等其它内容决定是否让IP包通过。 2. 其次是IP地址。在一个正常连通的TCP/IP网络中，每一个节点（主机和路由器）都至少有一个IP地址，这一IP地址虽然通常是手工设定的但在该网络中却是唯一的。在目前使用的IPv4版本中，每个IP地址都是一个32比特的整数或为了方便起见用4个025

7、5的整数表示，如的形式。 3. 然后是网段。虽然每个节点都有其唯一的IP地址，但是如果让路由表记录到达全网络中每一个IP地址的路由还是过于困难了，这样的路由表会由于过于庞大而无法维护和更新，所以每个节点的地址都不是随意分配的，位于同一个网段上的节点其IP地址中的某些比特都被设定成是相同的，这样在路由表只要用一项就可以代表到达这一网段所有点的路由了。那么什么是网段呢，这又牵涉到两个概念：物理网段和逻辑网段。 4. 对于物理网段来说，只要一个节点所发出的IP包可以不通过IP级别的中转（路由器）直接到达另一个节点（即能否到达与IP地址设置无关），这两个节点就算在同一个物理网段，

8、具体来说又分为两种情形：点对点直接连接（如专线或拨号串行线路），这时候一点上发出的数据包总是直接到达另一点；广播网络（如以太网），这时候某一点发出的数据包可以直接到达到相连网络中的每一点。对于以太网来说，通过交换机和集线器所串联起来的每一点都在同一个广播域内，所以都算在同一个物理网段，这其间虽然也有设备的中转，但这是在低层的以太网帧格式基础上的，不是在IP数据包级别上的。 5. 逻辑网段则是由IP地址的设置所决定的，在同一个逻辑网段中各节点IP地址的某些特定位置（一般是前若干个）的比特被设定成一个共同的值，而其余部分则各不相同以示区分。为了定义一个节点所在的逻辑网段，实际上每个节点的IP设置都

9、需要有两个参数：IP地址和子网掩码。子网掩码定义了在一个逻辑网段中IP地址的那些比特是相同的，但没有定义这相同部分的内容，所以要了解这相同部分的具体值，还要结合IP地址一起来看。子网掩码本身虽然不在网络中传播，但却是IP设置中一个必不可少的组成部分，在一个逻辑网段中的所有节点的子网掩码都应该相同。子网掩码的格式和IP地址相同，当作为32比特整数看时，为1的比特表示在该逻辑网段内所有IP地址中这些位置的比特必须相同，为0则不必。将IP地址和子网掩码比特相与，得到的地址称为该逻辑网段的网络号，如网络地址为，子网掩码为，则网络号为

10、。 检查两个IP地址是否在同一个逻辑网段，只要检查其网络号是否相同就可以了。将IP地址与子网掩码的反相或，得到的地址为该逻辑网段的广播地址，用于在逻辑网段中广播用，如上例中广播地址为55。需要注意的是在分配IP地址时，网络号和广播地址都是保留的，不能用作实际设备的IP地址。 6. 转发规则。当某个节点（主机或路由器）有一IP包需要发出或转发时，先检查该包的目的地址，如果和自身子网掩码计算出的网络号与本节点的网络号相同，即和本节点在同一逻辑网段，则认为其也在同一物理网段，可以直接送达，不需再通过路由器转发，因而直接将其发出。由此可见，在一个网络中，如果若干节点的IP地址被设

11、置成在一个逻辑网段中，那么就应该将其置于同一个物理网段，否则互相之间就无法通讯。反过来说，在同一个物理网段中，如果有很多节点，或某些节点上有多个IP地址，这些IP地址没有必要非设定在同一个逻辑网段中，但是如果配置成不同的逻辑网段，两点之间即使是直接相通的，也只有借助路由器（某些计算机也可配置成路由器）中转才能通讯。当发现IP包的目的地址不在本逻辑网段，这时候就需要检查路由表来决定将其送到何处（其实前述操作也是通过查路由表实现的）。虽然不同的路由协议有不同的路由表格式，但最基本的内容有四项：网络号，子网掩码，网关，距离。前两项定义了位于远端的一个逻辑网段，如果目的地址被检查后认为是在该网段，则将

12、IP包送到对应的下一跳（网关），由该网关负责下一步的转发。至于距离，则是一种度量，当目的地址与多个路由表条目相符合时，则将IP包送到距离值最小的网关。 7. 路由器（正式名字是网关）是一种连接至少两个逻辑网段的数据包转发设备，某些计算机可能装有两块网络适配器，工作在两个以上逻辑或物理网段，但只要没有转发功能，仍然不是路由器。IP包的转发过程总是通过从一个逻辑网段再到另一个逻辑网段的接力方式完成的，与实际传输的介质无关。路由器之间通过特有的路由协议互相交换动态的路由信息，更新路由表，最常用的路由协议有OSPF，EIGRP，RIP等等，当用计算机充当路由器时，一般只能接收RIP协议。 8. 缺省路

13、由是网络号为，子网掩码为形式的路由，在某些计算机中也显示为default，所有IP地址都符合这一路由，也就是说这是路由转发的最后选择，所有不符合其他路由的IP包都将被送到该路由指定的路径。有一点与其它路由不同，即使一个普通路由的距离大于缺省路由，IP包还是会优先转发到该普通路由而不是缺省路由。 现有常规的TCP/IP程序都是基于双向握手原理的，也就是两台计算机必须有有包来回传递才能工作，即使是UDP程序不需要建立连接，基本上也只有在两个方向的IP包都可以到达的情况下才能工作。因此，当一个点和另一个点能够连通时，我们指的实际上是双向畅通，必要条件是源节点要有指向目标节

14、点的路由，中间节点既要有指向目标节点也要有指向源节点的路由，而目标节点则需要指向源节点的路由，缺一不可（虽然少数情况下由于路由设置的问题会出现路由不对称，即数据包来回走两个不同的路径，但原理是一致的）。三. 诊断基本步骤当我们确诊是网络不通后，基本的可能性有三个：网络中某段物理连接不通；网络上的某个节点缺少路由，某个节点不转发数据包（如设置了防火墙限制或计算机没有打开IP包转发功能）。先让我们看一下仅从源节点开始诊断，能知道些什么？ 1. 首先，我们会从源节点ping目标节点，如果返回的是Request timed out信息，我们只知道是不通，除此之外别的什么也不知道；但是如果返回的是Hos

15、t unreachable，则意味着本地路由表中没有指向目标节点的路由，如果有中间节点返回该信息，则表明该中间节点缺少指向目标节点的路由（不过没有路由并不一定会返回该信息）。 如果返回其它信息，还需要区别对待。 2. 下一步是另一个最常用的命令traceroute跟踪路由，格式为：tracert -d <目的地址> (Windows格式，-d不反向DNS解析以免浪费时间)traceroute <目的地址> (UNIX格式)  tr <目的地址> (Cisco和3Com路由器格式)  这一命令显示IP包所经过中间点的IP地址。如果到了某处后

16、没有结果，就可以认为在该处与下一点之间出了问题。但是具体性质仍无法知晓。 3. 还有一个命令就是显示路由命令，格式如下：route print  (Windows格式)netstat -r 或 netstat -rv (UNIX格式，-v参数显示子网掩码) sh ip route  (Cisco路由器格式) sh -ip allr  (3Com路由器格式)  这一命令显示本节点的路由表，虽然各种路由协议显示格式各不相同，但前面所叙的四个要素总是有的。 有些路由器会以类似/24的形式显示路由，这表示网络号为而子网

17、掩码为24个比特1加32-24=8比特个0即。 从源节点诊断，最多能知道本节点缺少路由或从网络中某一点之后不通。当源节点是计算机时，缺少路由的问题通常是没有设置指向路由器的缺省路由，有些操作系统（或其中某些版本）可以接收路由器的自我宣告广播（ Router Discovery Protocol）而把缺省路由自动指向该路由器，而另外一些则不行。当源节点是路由器时，缺少路由的问题通常是对方没有广播所需要的路由，或由于路由协议不匹配而接收不到对方的路由广播，以及在某些情况下没有设置缺省路由。假如我们熟知网络拓扑结构，知道是在最后一个路由器和目标节点之间不通，那么我们还可以猜

18、测是目标节点没有指向源节点地址的反向路由，最常见的就是没有设置指向路由器的缺省路由，但是也可能就是这最后一段不通（这可以通过ping该网段其它已知的IP地址来减小这种可能性），或目标没有开机。如果能从源节点（或同网段）直接登录到最后一个路由器上且ping通目标节点，而从源节点却直接ping不通，则可以断定是没有设置反向路由，这是最常见的。假如能从目标节点反向诊断，方法是完全相同，因为IP的路由是双向的。但是结合两端的诊断结果，就可以得出要明确许多的结论，将故障点直接定位在网络中某一段，并首先查出两端的故障。当然如果目标节点是计算机，通常只有UNIX/Linux操作系统才提供通过telnet连接

19、进行远程反向诊断的功能。如果故障定位在网络中间的一段，要得出更明确的结果只有通过访问路由器了，当然这需要有路由器的口令。我们可以逐段检查，也可以从traceroute指出的可通达的最远点开始，这要看你所具有的访问权限了。路由器是敏感的网络部件，并且可能有日志记录，所以要尽量避免访问你没有权限的路由器。检查的基本点有两个：路由和端口状态，这里的端口状态是指路由器上的各网络适配器是否工作。显示路由的命令前面已经提过，如果你是从源节点或与其同网段的机器直接登录到路由器上，那么就不需要检查路由器到源节点的路由，否则两个方向的路由都要检查是否有。快速检查端口的命令格式如下：  

20、60;     sh ip int bri （Cisco路由器格式）        sh int （Cisco路由器格式-检查端口）        sh -ip net（3Com路由器格式）        sh -pa conf （3Com路由器格式-检查逻辑端口）   

21、0;    sh -po conf （3Com路由器格式-检查物理端口） 检查的重点是Up和Down字样，如果某一行出现Down字样，毫无疑问该端口已经断开，无法通过此端口通讯，只有检修物理线路；而标有Up字样只能表示直接连接的物理设备是工作的（如以太网集线器），并不能肯定到对端畅通（点对点线路一般较肯定），要确定线路是否通畅的方法还是直接ping相邻端的IP地址，问题是在这种情况下你常常会不知道对端路由器的相邻IP地址（所以平时记录下各种地址的配置是很有用的），如果是运行PPP协议的串行线路，该网段常常会只分配成仅容纳两个IP地址（子网掩码255.25

22、5.255.252）以节省地址占用，这时候根据本地地址就可以推断出对方地址；另外也可以检查路由表和路由协议状态（如Cisco中sh ip ospf neig），看是否有从对端传来的路由，从中获取地址；对于Cisco路由器上的以太网端口，还可以用sh arp命令试图找出对端IP地址。如果上述办法都不奏效，那就只有仔细检查端口状态，试图从中找出蛛丝马迹，还不行就不能依靠远程手段只能到现场检查了。对于端口为Up却不能和对方ping通的情况，也有三种可能：线路中断，对端路由器关机，对端路由器配置错误（如IP地址和本地不在同一个逻辑网段）。第一种情况只有检查物理设备才能查出，第二种只有对端配合检查，第三

23、种情况有可能通过检查路由协议状态等方法查出，但这是很不确定的。对于串行线路，如果外围设备显示链路正常但路由器PPP协议没有起来(Up)，说明对方设备故障或该线路通过多段链路的情况下非直接相连的链路中断。当然在开始上述两项检查之前，你还可以在中间路由器上分别ping目标节点和源节点的IP地址。如果这两个方向都是通的，那么是否意味着从源节点到目标节点就是通的呢？答案是否定的！这样的结果只能表明物理线路是没有问题的，但由于路由或防火墙的设置，从源节点发出的IP包仍有可能无法到达目标节点，反之亦然。无论是路由器还是计算机，如有多个IP地址，当从自身发出IP包时，总是使用最靠近目标节点的IP地址做为源地

24、址，对于从路由器到目标节点方向，路由器发出的IP包可能能通过防火墙检查而源节点发出的IP包由于源地址在另一个网段而可能被过滤；当信息包返回时，源地址变成目的地址，在网络中可能只有到中间路由器的路由，而根本就没有指向源节点地址的路由。所以一旦确定物理线路是连通的，在路由器上进行的任何检查都不能取代从源节点或目标节点上的ping检查。ping检查一般是双向等价的，也就是如果从某一点ping另一点是通的，那么反向ping也可以认为是通的（注意当源节点有多个IP地址时，反向ping等价是指到目标节点最近的一个IP地址），因为ping操作需要数据包双向的传输，从不同方向ping只有通过路径先后的区别，I

25、P包的传输过程是一模一样的。但笔者也遇到过ping虚（standby）IP地址不通而反向ping是通的不对称情形，（standby ip address 是指几台路由器或计算机共用一个IP地址，其中一台失效后另一台顶上），估计与ARP地址解析有关；另一个例子是目标节点是路由器，可以ping通而从该路由器上反向ping却不通，最后发现ping该路由器离源节点最近的地址不通（路由器总是有多个IP地址的），因此从目标节点的反向ping检查才会不通。这些就更说明了在疑难情况下，需从原理上分析的重要性。归纳一下：只要ping的源节点或目标节点中有一个配有多IP地址，检查就需要双向进行。而如果ping检查

26、通过没问题，则说明网络是好的，需要考虑的只有IP层以上的问题：即应用程序问题，或中间有路由器（访问列表）或防火墙封锁了TCP/UDP的特定端口，如果用扫描程序查出对方应用程序所用的TCP端口是开着的，则只能是应用上的问题了（还有例外如特殊的防火墙，但内网是不大可能遇到的）。四. 常见故障现象及对策以上简单描述了在路由器上进行网络诊断的步骤。相对来讲，线路不通等硬件故障虽然单从路由器状态绝对定性比较困难，相对判断却是比较容易的，可以通过观察其它设备状态和替换等方法定性。非硬件的的软故障则较难判断。路由方面的故障存在着各种因素，一般都是对方没有将所需的路由广播过来或自己没有将己方的路由广播过去，诊

27、断的关键点是一定要对双向路由的每一跳都做检查。防火墙设置造成的问题则更难诊断，一般来说，如果不能登录到有防火墙设置的路由器上就难以确诊，但是也可以从两端逐步排除路由问题的可能性（即防火墙两侧的点双向路由都存在并可通）来确定不能连通的原因是出在防火墙设置上。如果在同一个逻辑网段中出现某些点可通而另一些点不可通，可能是防火墙造成的，也可能是静态路由（默认网关）设置造成的。对于路由问题，一个常见的因素是用静态路由取代动态路由交换引起的，有许多管理员喜欢禁止路由广播而通过手工设置静态路由来管理网络的连通性，如果一个网络只有两、三个路由器，这通常不会有什么问题，如果有十个以上，这常常会是一场灾难。只用静

28、态路由存在两个方面的问题：一是静态路由缺省是不广播的，这样的话只有对直接把缺省路由指向该路由器上的节点静态路由才起作用，通过其它路由器转接就无法访问用静态路由指向的网段（除非其它路由器的缺省路由都指向本路由器）；二是即使你广播静态路由，你仍然没有把本地的路由广播到静态路由指向的对端，对于静态路由指向的对端来说，它也需要设置一个静态路由（也许还不止一个）指向你才能互通。如果路由器数量增长的话，需要设置的静态路由数量就会呈指数增长，而管理员则会发觉自己在疲于奔命解决连通性问题。路由因素的另一个问题是路由协议的转换，一个大型的网络常常使用不止一种路由协议，在实行两种协议的分界处如果没有一台路由器设置

29、转换功能，就会出现路由广播的中断，造成无法连通。设置协议转换常常比较复杂，但是这种做法还是相对于设置静态路由有明显的优点：一个大的网络常常是由不同部门管理的，要求对方为自己设置一个或多个静态路由不仅很麻烦更主要的是以后难以改动，协议转换就没有这个问题；协议转换的另一个优点是当对方某个线路中断，在路由表中能动态的反映出来，而静态路由是不会变化的，这在网络中存在多个路径时特别有用，可以通过迂回路由继续工作。如果你所在的子网和大的网络只有一个连接，设置缺省路由也是一个办法，静态缺省路由将所有不属于本子网的IP包转发到大网中，从而简化了路由结构，这种方法虽然有一丁点副作用，但还是切实可行的，不过在大网

30、中仍然要设置指向你所在子网的静态路由。还有些管理员喜欢通过设置防火墙（访问列表）而不是限制路由广播来限制某些网段的可连通性，当然这样做在设置上要容易一些，但这在多个部门管理并有多条路径的网络中会产生严重的问题，如果防火墙广播的路由是最近路由，IP包就会优先转发到该防火墙，而最后却无法通过，其它部门的管理员常常要化很大力气来屏蔽掉这些无用的路由。虽然这种情况倒也不常见，但是光进行防火墙设置而不屏蔽路由广播，会暴露出网络内部的细节，增加被攻击的危险，这和网络安全性原则是相违背的。如果某些路由器的路由设置出现了问题，从远端就难以直接登录上去，但是只要物理线路连通和其IP地址设置正确，从与其相邻路由器

31、总是可以登录上去的（除非做了访问限制）。因此可以先登录到相邻路由器，再用telnet协议登录到该路由器，同理，假如目标节点是UNIX机器，也可以通过这种方法通过多跳登录到目标主机上，进行反向诊断。其它问题：注意如果你正在单机上用拨号上Internet网，你将只能同时访问自己所在的网段，而不能同时连接企业内部网的其它网段，除非你手工添加指向你所要访问网段的静态路由。因为这时候拨号网络自动成为缺省网关且优先于其它缺省网关。 五. 路由设置诊断出路由问题后，如发现缺少路由则需要进行路由设置，对于计算机，一般不提倡设置局部的静态路由，只设置指向路由器的缺省路由就可以了，路由寻址由路由器解决，但有时也可

32、在计算机上设置静态路由以作为验证之用和应急措施。如果诊断结果为某计算机缺少缺省路由，也可以不加缺省路由而靠安装设置RIP路由协议解决，但这样做过于复杂而且路由器也要设置成广播或转换其它协议到RIP路由协议。（路由器的路由设置是很复杂的话题，这里不再继续探讨）。对于某些UNIX平台或Win95版本低于OSR2(右键单击我的电脑|属性|常规，版本号小于4.00.95b)，计算机可能不能自动接收路由器的自我宣告广播，必须手动设置缺省网关。对于其它计算机，如一个网段有多个路由器而要指定使用的路由器或某些路由器没有设成自动宣告（RDP），也要设置缺省网关。在Windows平台上设置缺省网关的方法：右键单

33、击“网上邻居”，选择“属性”，双击网卡的TCP/IP一项，选择“网关”，添加缺省网关。注意不要试图为多个IP地址添加多个缺省网关，这几乎总是会带来稳定性问题，设置两个缺省网关并不会让计算机有足够的智能根据目的地址的不同将你的IP包分别发到不同的缺省网关中去，结果只会是在两个网关间来回切换，造成时通时不通的问题。如果需要同时访问两个网络，可以只设一个缺省网关指向大网，再设静态路由指向较小的网来解决。在Windows平台添加静态路由的方法：在命令行执行 route add <网络号> mask <子网掩码> <网关>这样添加的路由在系统重新启动后就会丢失，如果是

34、Windows NT/2000/XP可以在route 之后加上 -p 命令行参数以使其能够持久，重启动也不会丢失。对于UNIX平台，添加静态路由的方法随UNIX版本的不同各有不同：在Linux中：route add default gw <缺省网关>route add -net <网络号> netmask <子网掩码> gw <网关>在Compaq Tru64或Digital UNIX中：route add default <缺省网关>route add -net <网络号> / <掩码比特数> <网关&

35、gt; 在HP-UX中：route add default <缺省网关>route add net <网络号>  netmask <子网掩码> <网关>  但是这些操作添加的路由在重启动后都不能保存，需要持久的路由要通过操作系统中的实用工具配置或直接修改特定配置文件。删除路由操作和添加命令类似，不过变成route delete或route del形式。 王大庆第一稿 发表于通讯技术与管理2000年第2期附录：数据链路故障诊断提示对于路由器的点对点线路故障，排查主要是在路由器外的设备上进行的，但是同时在路由器上检查端口状态和配合诊断，能有利于故障诊断，加快修复进程。为了检测路由器之间串行通道的故障，我们可以使线路loop环回的办法测试，但是在线路已经打环后路由器端口状态如