推荐：防火墙路由配置错误分析排除

    本文档不是讲述如何用网络分析工具去解决防火墙路由配置错误，而是用简单的系统工具和基本路由知识通过现象分析问题并解决问题，并通过该过程总结遇到网络问题我们解决的思路。适合于刚接触防火墙和交换路由设备的XDJM们。 中国网管论坛bbs.bitsCN.com

　　前置知识：

网管联盟bitsCN@com

　　基础路由知识；
　　会在dos界面输入tracert及ip地址。

网管网www_bitscn_com

　　网络架构： 网管联盟bitsCN_com

    网管下载dl.bitscn.com

中国网管联盟bitsCN.com

    
    该企业现有的架构较简单，没有设置DMZ区，仅仅使用防火墙进行上网访问控制，物理连接和地址分配如上拓扑图。其中内部网将172.15.0.0/16进行子网划分成24个子网，对应不同的厂区部门所在的VLAN。 网管bitscn_com

　　一、事故起因及现象

　　国庆后的一天，该外地用户打电话给俺，说刚对9月份部署的一台防火墙在做了策略调整后整个公司不能访问互联网，导致全厂职工和领导极大的不满，联名说周一前弄不好就扣信息中心的工资。。。。。。（幸亏俺RP好，不是在十一期间调整 ^_^）通过咨询，了解现在的网络状况表现如下： 网管u家u.bitsCN.com

　　1、不能通过域名上网，也不能通过已知的外网网站的ip上网，但是可以ping通外网的地址；（注意！此处位为用户的说法）
　　2、可以登陆到该防火墙进行策略的调整设置；

中国网管联盟bitsCN.com

　　二、远程分析诊断 网管u家u.bitsCN.com

　　根据用户所描述的现象，初步判断为DNS服务器没有起效，因此让他们看看防火墙设置中的DNS服务器地址是否正确，能否ping通该服务器。回答是防火墙中设置的DNS服务器的地址是当地电信提供的，但是无法ping通到该dns地址。
　　根据以上ping当地DNS服务器地址不通的结果，以及用户提到可以ping通外网地址，分析为当地的dns服务器服务可能有中断。准备叫他们换其它dns服务器进行尝试，并寻求他们该防火墙的管理员密码以进行更加详细的设置查询和设置，但是他们以公司内部机密等原因不提供，并希望我们到现场进行解决。
　　没有办法，只有去一趟咯！ 中国网管联盟bitsCN.com

　　公司－－的士－－源长途车站－－睡觉2小时－－目标长途车站－－的士－－现场

网管联盟bitsCN_com

网管网www.bitscn.com