■湖南工業(yè)大學(xué)現(xiàn)代教育技術(shù)中心 郭兆宏

最近一段時間用戶反映多個網(wǎng)站不能訪問請求解決，有的是校內(nèi)網(wǎng)站，有的是校外網(wǎng)站，通過測試發(fā)現(xiàn)這幾個網(wǎng)站本身都是正常的，只是因各種原因不能訪問，現(xiàn)把這幾個網(wǎng)站無法訪問的故障的排查分享出來。

學(xué)校某個網(wǎng)站無法在公網(wǎng)訪問的排查

學(xué)校圖書館反映他們的一個網(wǎng)站在公網(wǎng)無法打開，此網(wǎng)站的映射是 172.X.X.7:80-218.X.X.122:8844，在校內(nèi)用內(nèi)網(wǎng)地址172.x.x.7 還是公網(wǎng)地 址218.x.x.122:8844 都可打開，用www.17ce.com 測試打不開。于是又增加幾個映射，用不同公網(wǎng)IP 地址、端口號、www.17ce.com 測試，全打不開。

再更換映射并用學(xué)校主頁的172.x.x.101:80-218.x.x.122:8844，用www.17ce.com 測試就打開了，說明公網(wǎng)IP 地址218.x.x.122 及端口8844 是正常的，可能是內(nèi)網(wǎng)172.x.x.7:80 哪里有問題。

改用無校網(wǎng)認(rèn)證上網(wǎng)，172.x.x.7 打不開，肯定卡在哪里了，因核心網(wǎng)絡(luò)中有多臺安全設(shè)備如WAF、IPS、防火墻、上網(wǎng)行為等，一臺進入安全設(shè)備檢查配置，最后在一臺防火墻上查到有一條是對172.x.x.7 全禁止，前面有條對172.x.x.7 只開放8080 和8983 端口的，馬上禁止此條策略，把映射換回來的172.X.X.7:80 到218.X.X.122:8844，再測試可以正常打開，至此故障解決。

該問題可能有幾個月了，之前有安全通報此IP：172.x.x.7 有安全問題，圖書館老師就讓網(wǎng)絡(luò)中心在安全設(shè)備做了條安全策略，而圖書館主用的是此IP 地址的8080端口，80 端口極少用，現(xiàn)在想用時才發(fā)現(xiàn)在公網(wǎng)不能用，而做安全策略時圖書館老師也沒放開80 端口，網(wǎng)絡(luò)中心只負責(zé)做映射及通用安全，能否使用需服務(wù)能正常運行及用戶的反映，在做映射與做安全方面需加強協(xié)調(diào)溝通。

某個學(xué)校網(wǎng)站無法用無線校園網(wǎng)訪問的排查

有用戶反映學(xué)校的教務(wù)系統(tǒng)無法用無線校園網(wǎng)訪問，可在辦公室用無線校園網(wǎng)訪問正常。因無線校園網(wǎng)是歸無線公司所管，不知道無線設(shè)備的用戶名及密碼，無法進入無線網(wǎng)設(shè)備查看。不斷有用戶都反映有此問題，于是只好查看網(wǎng)絡(luò)。

無線校園網(wǎng)無獨立出口，老師帳號走辦公教學(xué)出口，學(xué)生帳號走學(xué)生宿舍出口，在在辦公出口無線園IP 地址段限速只有電信2M+聯(lián)通2M。因網(wǎng)絡(luò)中心辦公區(qū)有一個單獨的無線校園SSID，使用的是有線校園網(wǎng)地址172.29.X.X，這段地址的出口限速要大得多，因此極少使用公無校園網(wǎng)SSID 上網(wǎng)。

上次處理教務(wù)系統(tǒng)外網(wǎng)不定時無法訪問時，有用戶反映過無線校園網(wǎng)無法訪問教務(wù)系統(tǒng)，當(dāng)時把教務(wù)系統(tǒng)訪問的故障解決時，也有無線校園網(wǎng)的測試可以正常打開，但當(dāng)時忘了無線網(wǎng)使用的是單獨SSID，不是公用的SSID，IP 地址段是不一樣的。

馬上接無線校園網(wǎng)用公用SSID 登錄，確定無法打開教務(wù)系統(tǒng)網(wǎng)站。有線校園網(wǎng)、公網(wǎng)、及單獨SSID 的無線網(wǎng)能正常訪問教務(wù)系統(tǒng)網(wǎng)站，說明網(wǎng)絡(luò)都是正常。而公用無線校園SSID 用戶IP:172.27.X.X 地址無法訪問，說明此段地址卡了，進入有線校園網(wǎng)核心交換機沒有查到與172.27.x.x 相關(guān)的配置，無線AC 控制器不知道密碼還是無法查看。

一臺臺進入安全設(shè)備檢查，在上網(wǎng)行為里發(fā)現(xiàn)有條策略是禁止無線校園網(wǎng)的，禁止的目標(biāo)正是教務(wù)系統(tǒng)，馬上停止此條策略，再用無線校園網(wǎng)公用SSID 上網(wǎng)，可以正常打開教務(wù)系統(tǒng)網(wǎng)站。

有一段時間基本沒有配置過上網(wǎng)行為策略了，也可能是其他同事誤配置。上次排查教務(wù)系統(tǒng)訪問故障時解決故障后沒注意不同的SSID使用的是不同IP 地址段，導(dǎo)致當(dāng)時沒發(fā)現(xiàn)這個故障。

部分電腦通過無線校園網(wǎng)無法訪問某個校內(nèi)網(wǎng)站的排查

圖書館反映20 多臺圖書檢索機全部無法打開圖書檢索系統(tǒng)，圖書館檢索機是一體機通過專用無線校園網(wǎng)SSID 上網(wǎng)，為管理檢索機圖書館通過修改注冊表只能只能打開圖書檢索系統(tǒng)，而用臺式電腦可以正常打開檢索系統(tǒng)。因無線網(wǎng)歸無線公司運維的，圖書館與無線公司扯了好久也沒解決這個故障，最后領(lǐng)導(dǎo)推到筆者這里。

等要到AC 密碼后登錄AC 查看沒有找到任何禁止圖書檢索系統(tǒng)的，查看這個專用SSID 除了是隱藏的外無其他特別的，把這個SSID隱藏去掉公開此SSID，而此SSID 上的用戶20 多個用戶是正常的。拿筆記本到現(xiàn)場測試，此SSID 的信號正常，圖書檢索系統(tǒng)可以正常打開，對外訪問也是正常的，但在幾臺檢索機上卻還是不能打開檢索系統(tǒng)。因檢索機注冊表修改過限定使用，無法進行更多測試，用手機WIFI用這個專用SSID 登錄，也可以正常打開檢索系統(tǒng)，對外訪問正常，判斷是檢索機有問題，讓圖書館查檢索機操作系統(tǒng)。

后來圖書館讓禁止對一個IP 地址的訪問，他們也對檢索機全部查殺病毒后，可正常打開圖書檢索系統(tǒng)了，至此故障解決，是因檢索機電腦有問題，且是20 多臺檢索機同時出現(xiàn)相同的問題，并不是圖書檢索系統(tǒng)及無線網(wǎng)有問題。

QQ 空間在校園網(wǎng)內(nèi)無法打開的排查

有用戶反映QQ 空間無法在校園內(nèi)打開，用www.17ce.com 測試QQ 空間地址可以打開。在另外一臺電腦用三個學(xué)生出口帳號認(rèn)證，分別從學(xué)生的電信、聯(lián)通、移動出口出去，用另外一個QQ 登錄，全可以打開。

用2 臺電腦做對比，一臺是從學(xué)生電信出口出去的，一臺是辦公出口出去，路由跟蹤qzone.qzone.qq.com，學(xué)生電信出口可以路由到，而辦公出口無法路由跟蹤，ping 學(xué)生電信出口路由跟蹤qzone.qzone.qq.com 的IP 地址183.3.22.59，全能ping 通，檢查幾臺有關(guān)交換機，沒有查出與183.3.22.59相關(guān)的配置，一臺臺進入安全設(shè)備檢查與183.3.226.59及qzone.qzone.qq.com 相關(guān)的日志，未找出，防火墻里有QQ 空間對象應(yīng)用，于是增加策略放通，但還是打不開QQ 空間。

筆者發(fā)現(xiàn)辦公區(qū)無法對user.qzone.qq.com 解析，肯定哪里有阻斷，可安全設(shè)備反復(fù)查找未查出。只能將安全設(shè)備一臺臺直通去測試ping user.qzone.qq.com，等到一臺防火墻和一臺IPS時直通時ping user.qzone.qq.com 通了，這時再用辦公出口的電腦打開QQ 空間可以打開了，再把安全設(shè)備一臺臺接進網(wǎng)絡(luò)還是可以打開QQ 空間，此致故障解決。

在另外一臺安全設(shè)備直接時發(fā)現(xiàn)輸入輸出接反了，不管正接還是反接無法還原出故障。在一臺臺的安全設(shè)備日志的阻斷里查不到與QQ空間和183.3.22.59 相關(guān)的日志。雖然故障解決了，但非常奇怪找不到原因，在部分安全設(shè)備集中日志服務(wù)器里也沒找與QQ 空間有關(guān)的阻斷，也沒找到自己辦公電腦IP 相關(guān)的阻斷，也可能是找錯了對象，等有時間再好好找一找。

某個校外網(wǎng)站一部分內(nèi)容無法正常訪問的排查

有用戶反映用校園網(wǎng)無法訪問湖南省專業(yè)技術(shù)人員繼續(xù)網(wǎng)http://www.ejxjy.com 這個網(wǎng)站，于是測試在辦公室可以打開此網(wǎng)站，向用戶說此網(wǎng)站可以正常打開，用戶再次反映是里面一個內(nèi)容無法訪問，而這個內(nèi)容是注冊用戶才能看得到的，此用戶卻不肯提供帳號及密碼給做測試，而在此網(wǎng)站注冊用戶后需要交費才能學(xué)習(xí)考試，沒辦法只能從外圍看看。

此域名解析出的IP 地址是202.197.122.70，這是教育網(wǎng)地址，在校內(nèi)是從辦公區(qū)教育網(wǎng)出口出去的，長ping 此網(wǎng)站的IP 地址有點丟包，在辦公出口上查看此網(wǎng)站IP 地址的流表正常。在校內(nèi)能打開此網(wǎng)站，肯定是沒有阻斷的地方。此網(wǎng)站是校外的，校外的網(wǎng)絡(luò)不是我們能管的，且是注冊用戶才能看到的內(nèi)容，可能有權(quán)限的問題，這要問網(wǎng)站管理員。因教育網(wǎng)是虛擬電信隧道做的，且只有10M 帶寬，有時可能跑滿了，且虛擬隧道的帶寬沒法監(jiān)控只能到時時的數(shù)據(jù)，且教育網(wǎng)地址受攻擊的次數(shù)非常多，這種外網(wǎng)的問題不在能處理的范圍內(nèi)，無能為力。

總結(jié)

網(wǎng)站不能訪問的問題原因非常多，對校內(nèi)的網(wǎng)站，對網(wǎng)絡(luò)及安全設(shè)備是可以配置和檢查的，可以查找相關(guān)的原因。對校內(nèi)網(wǎng)站一定要先保障內(nèi)網(wǎng)地址可以打開，如果內(nèi)網(wǎng)地址都打不開是沒辦法檢查其他的；對一些電腦的原因不是網(wǎng)絡(luò)的責(zé)任一定要告訴用戶，讓用戶檢查自己的電腦，有時需換不同的瀏覽器試試。

對一些外網(wǎng)的網(wǎng)站不能訪問的問題先要多種方法測試保障此網(wǎng)站是正?？梢源蜷_的，然后再能查找自己網(wǎng)絡(luò)相關(guān)的原因，如果是外網(wǎng)的網(wǎng)絡(luò)問題及其他原因，是沒辦法解決的。網(wǎng)站雖然都不能訪問但原因可能各不相同，要一例例分析查找。