故障現象
企業內網運行一段時間後，突現網速劇降：內部業務系統卡頓、訪問內網主頁緩慢、外網訪問極差。Ping 內網主頁與路由器 LAN 口均呈現「時斷時續、丟包嚴重」。
排查實錄：網管視角的抽絲剝繭
第一階段：排除物理與傳輸層
- 檢查網線、水晶頭、交換機電源/指示燈、網卡狀態 —— 均正常。
- 更換網線、交換機端口 —— 故障依舊，鎖定非單點物理故障。
第二階段：流量分析定位「元兇」
啟動 Windows 2000 自帶「網絡監視器」捕獲數據幀：
- 網絡利用率長期維持 >50% (警戒線通常 40%)。
- 70% 以上幀指向路由器 LAN 口，且源頭為 DNS 服務流量。
關鍵發現： 捕獲數據顯示海量 DNS 查詢/回應包在路由器與兩台服務器之間瘋狂往返，形成廣播風暴級別的 DNS 迴路。
第三階段：配置邏輯還原攻擊鏈
| 角色 | IP/功能 | 關鍵誤配置 |
|---|
| Server1 (DNS 主服務器) | 內網域名解析 | 啟用「轉發器」，指向 Server2 |
| Server2 (WWW + 路由/網關) | Web 服務、默認網關、非 DNS 服務器 | 被誤作為 DNS 轉發目標 |
| 客戶端 | 默認網關 → Server2 | DNS 設置指向 Server1 |
死循環形成過程：
- 客戶端查詢域名 → Server1。
- Server1 無權威記錄 → 按轉發器配置轉發給 Server2。
- Server2 非 DNS 服務器，無法解析 → 視為普通數據包，按路由表轉發給默認網關 (即自身 LAN 口) 或上游路由器。
- Server1 再次收到查詢 (或超時重試) → 循環放大，產生指數級 DNS 流量洪峰。
- 路由器 LAN 口被 DNS 流量佔滿，正常業務數據包丟棄 → 全網卡頓。
解決方案與驗證
- 立即止血： 卸載/停用 Server2 上誤安裝的 DNS 服務（或禁用其 DNS 監聽端口）。
- 斷環： Server1 取消「使用轉發器」或指向正確的上級 DNS (ISP/根服務器)。
- 驗證： 網絡利用率瞬間跌至 <10%，Ping 穩定，業務系統恢復流暢。
深度復盤：避坑指南
1. 角色邊界清晰化
- DNS 服務器、Web 服務器、網關/路由器 —— 功能解耦，嚴禁單機多役 (除非極小規模且經驗證無環路)。
2. 轉發器配置鐵律
- 轉發目標 必須是合法 DNS 服務器 (運行 DNS 服務、端口 53 開放、能權威/遞歸解析)。
- 嚴禁指向網關設備、Web 服務器、非授權 IP。
3. 監控預警體系
- 部署流量基線告警：DNS 流量佔比 >10%、單一會話佔比 >30% 觸發告警。
- 定期審計 DNS 服務器配置 (轉發器、根提示、區域傳輸權限)。
4. 文檔與變更管理
- 所有服務角色變更、IP 遷移、軟件安裝/卸載，納入變更管理流程，更新網絡拓撲與服務清單。
總結
「網速慢」表象下，往往隱藏著邏輯架構級缺陷。本案中，DNS 轉發指向非 DNS 設備 這一低級配置錯誤，引發鏈路級流量風暴。網管需具備「抓包分析 → 邏輯還原 → 斷環止血 → 體系固化」的全鏈路能力，才能從救火隊員進化為網絡架構守門人。