案例背景
下屬公司 4 部門各 20 台電腦，經 BayNet 交換機接 Cisco 路由器，再經天融信硬體防火牆出 Internet。近期各部門反映：網頁時快時慢、間歇無法連線、Ping 外網 IP 正常但瀏覽失敗。
排查歷程：層層剝洋蔥
- 排除病毒：掃描交換埠口流量無異常、全網殺毒無效。
- 排除埠口瓶頸/廣播風暴/環路：重要埠口流量正常、無廣播包暴增。
- 排除實體連線：全網同症，不可能所有線同時鬆動。
- 排除設備過熱：機櫃指示燈正常、表面溫度正常。
- 防火牆日誌驚現：大量來源 IP 0.0.0.0 的通訊紀錄。
關鍵突破：0.0.0.0 來源 IP 之謎
- 0.0.0.0 代表「未知/未指派 IP」（DHCP 過程中、PPPoE 協商中、或路由表無匹配時的預設來源）。
- 防火牆應攔截明顯偽造來源 IP，但日誌顯示 0.0.0.0 無實際通訊動作，僅有紀錄。
- 研判：內部設備記憶體不足，封包處理中斷導致封包頭資訊遺失/損毀，產生 0.0.0.0 偽裝封包。
實錘：Console 連線發現路由器記憶體耗盡
- 遠程 SSH 登入明顯遲緩 → 改 Console 線直連。
show memory / show processes memory → 可用記憶體極低，高峰期更嚴重。- 記憶體不足導致：路由表無法完整建立、CEF/FIB 損壞、封包處理中斷、NAT 表項無法分配 → 表現為「忽快忽慢、間歇斷線」。
解決與長效對策
短期急救
長期根治 |
|---|
| 重啟路由器釋放記憶體 | 升級路由器記憶體模組 (DRAM) |
| 停用非必要服務（HTTP Server、SNMP、CDP 等） | 更換更高規格機型（如 ISR 4000 系列） |
| 定時排程重啟（維護窗口） | 啟用記憶體閾值告警（NMS 監控 ciscoMemoryPoolUsed） |
經驗總結
- Ping 正常 ≠ 網路正常：ICMP 只測控制平面達達性，資料平面轉發可能已癱瘓。
- 記憶體洩漏/不足是隱形殺手：症狀非固定模式、隨負載波動、重啟暫時緩解 → 极易誤判為線路/ISP 問題。
- NMS 必須監控記憶體/CPU 歷史趨勢，而非僅看當下數值。
- 設備選型時 記憶體留 50% 以上備用，生命週期內應對功能疊加（IPS、NetFlow、SD-WAN）。