故障背景

單位大樓租用電信10M共享光纖，拓撲為：光纖→TP-Link寬帶路由器→Cisco交換機→局域網。核心文件服務器（千兆網卡、Cat6直連交換機）安裝加費爾防火牆，啟用服務器模式。路由器啟用防火牆、DHCP、靜態地址綁定。

故障現象：層層反轉的診斷過程

初診：疑似IP衝突

某工作站無法訪問文件服務器。物理連接、網卡設置、線纜通斷均正常。服務器日志提示目標工作站IP可能衝突。更換IP後故障依舊——這不符合常規邏輯。

深入測試：單向通訊之謎

• 工作站Ping服務器：失敗
• 服務器Ping工作站：成功
• 工作站訪問其他工作站共享：成功

說明物理鏈路通暢，但服務器拒絕工作站訪問。常規邏輯下，IP衝突應導致所有訪問失效，現象極其反常。

排查DHCP與靜態綁定

停用/啟用網卡發現IP隨機分配→懷疑路由器DHCP衝突→關閉DHCP、清空靜態綁定/MAC、重啟路由器——故障依舊。

關鍵突破：交換機視角

登錄交換機Ping服務器：失敗；服務器Ping交換機：成功。多工作站網上鄰居顯示不全，任意工作站Ping服務器均失敗。問題鎖定在服務器端。

根因揭秘：防火牆的「記仇」機制

修改服務器防火牆模式從「服務器模式」改為「普通模式」，調整訪問規則後，全網Ping服務器恢復正常，故障工作站訪問恢復。

核心原因：防火牆檢測到IP衝突工作站嘗試訪問時，自動將其列入黑名單禁止後續訪問，除非手工解除限制。更換IP無效，因防火牆識別基於MAC或會話關聯，非單純IP。

隱患提示：DHCP驅動Bug導致誤分配

路由器DHCP若使用有Bug驅動，可能分配超出地址池範圍的IP，與靜態IP衝突，觸發防火牆封鎖。建議：定期更新路由器固件，謹慎啟用DHCP與靜態綁定混用。