網管排查「單一工作站無法存取伺服器、但可存取其他資源、伺服器能 Ping 通工作站、工作站 Ping 不通伺服器」的離奇故障，最終發現根因是廉價寬頻路由器 DHCP 服務軟體 Bug，分配了不在定義地址池內的 IP，與靜態 IP 伺服器衝突，觸發伺服器 Norton 防火牆「IP 衝突自動封鎖」機制。完整複盤如下。
網路拓撲與基線
- 2M 光纖專線 → TP-LINK 寬頻路由器 (啟用防火牆、DHCP、靜態地址組) → 48 埠交換機 → 所有工作站 + 關鍵資料伺服器。
- 伺服器：靜態 IP (如 192.168.1.10)，裝 Norton Firewall 設為「伺服器模式」。
- 工作站：DHCP 取得 IP。
故障演進時間軸
- 同事回報：工作站 A 無法存取伺服器共享資料夾。
- 管理員驗證：自身工作站存取伺服器正常 → 伺服器主機運作正常。
- 現場查看伺服器螢幕：彈出「IP 位址衝突」視窗 (偵測到重複 IP)。
- 檢查工作站 A TCP/IP 設定：發現為動態取得，當前 IP 竟與伺服器靜態 IP 相同。
- 為工作站 A 手動指定新靜態 IP → 仍無法存取伺服器。
- 工作站 A 能存取其他工作站、能 Ping 通閘道/其他 IP，唯獨 Ping 不通伺服器；伺服器卻能 Ping 通工作站 A (非對稱)。
- 登入交換機管理介面 Ping 伺服器 → 也不通；其他工作站 Ping 伺服器 → 全不通，但能存取共享 (SMB over NetBIOS/TCP 445 異常？)。
- 懷疑伺服器防火牆封鎖 ICMP → 登入伺服器將 Norton 模式改為「一般模式」、調整規則 → 重開機。
- 再次測試：交換機、所有工作站 Ping 伺服器 全通。
- 重新啟用路由器 DHCP、工作站 A 改回自動取得 IP → 獲取新 IP (無衝突) → 存取伺服器 恢復正常。
根因深度剖析
- DHCP Bug：路由器 DHCP 服務分配了 超出地址池範圍 的 IP (如地址池 192.168.1.100-199，卻分出 192.168.1.10)，與伺服器靜態 IP 衝突。
- 衝突觸發防火牆：Norton「伺服器模式」偵測到 IP 衝突，判定衝突來源為惡意偽裝，自動封鎖該 IP 所有通訊 (含 ICMP、SMB、RPC)。
- 非對稱 Ping：伺服器發起 Ping (源 IP 為自身靜態 IP) 正常；工作站 回應 Ping 封包源 IP 為衝突 IP，被伺服器防火牆丟棄 → 工作站 Ping 不通伺服器，伺服器 Ping 通工作站。
- 其他工作站能存取共享：可能因 SMB 會話已建立、或 NetBIOS over TCP/IP 使用名稱解析繞過 IP 過濾，但新連線同樣會被阻擋 (後續驗證全網 Ping 不通印證)。
修正與預防措施
| 層面 | 動作 |
|---|
| 立即修正 | 1. 關閉路由器 DHCP → 2. 刪除靜態地址組/MAC 綁定 → 3. 重啟路由器 → 4. 為伺服器保留靜態 IP (排除地址池) → 5. 重新啟用 DHCP、縮小地址池範圍避開靜態 IP 段 → 6. 伺服器防火牆恢復「伺服器模式」、清除封鎖規則。 |
| 根治 | 更換支援 DHCP 衝突偵測 (Ping 檢測前再發配) 的企業級路由器/核心交換機 DHCP 服務，或由 Windows Server / Linux (ISC dhcpd/Kea) 提供權威 DHCP，關閉路由器 DHCP。 |
| 防禦加強 | 1. 伺服器靜態 IP 設定 arp -s 靜態綁定 MAC。
2. 交換機啟用 DHCP Snooping + DAI (動態 ARP 檢測) + IP Source Guard，從二層阻斷偽造/衝突 IP。
3. 防火牆策略：IP 衝突事件僅「告警+記錄」，不自動封鎖合法服務埠，避免誤傷。
4. 部署 IP 位址管理 (IPAM) 系統，集中管理靜態/動態分配、衝突偵測、歷史審計。 |
| 監控告警 | Zabbix/Prometheus/NetBox 監控：DHCP 租約衝突事件、ARP 表波動、防火牆封鎖動作、ICMP 達達率異常。 |
核心教訓
- 「IP 衝突」提示是黃金線索：第一時間按此線索排查，可避免繞彎路 (如懷疑網卡、線材、交換機埠)。
- 廉價設備軟體品質是隱形風險：DHCP 伺服器邏輯缺陷 (無 Ping 檢測、租約資料庫損毀、超界分配) 是低價產品常見缺陷。
- 防火牆自動封鎖需謹慎：生產環境關鍵資產防火牆應採「人工複核+白名單」模式，避免誤判導致業務中斷。
- 分層防禦：二層 (交換機 DAI/IPSG) 擋偽造、三層 (路由器/DHCP Server) 防超界、主機層 (靜態 ARP/防火牆白名單) 保核心。
一個 50 元路由器的 DHCP Bug，差點癱瘓核心資料庫存取。網管必須具備「從現象穿透到軟體缺陷」的深度排查能力，並以架構級防禦取代單點設備依賴。