5.6—5.7 网络实务与排障¶
本页要点：隔离要结合路由与策略；冗余要消除共同故障；按证据逐层排障；把吞吐、时延和丢包分开度量。
5.6 网络分区与可靠通信¶
分区是把用途和信任不同的网络分开，再明确允许哪些访问。例如对外服务放DMZ（非军事区），办公终端不能直接连生产数据库，测试网不直接访问生产数据。VLAN提供二层隔离，跨区仍应以路由、防火墙和最小权限策略控制；把系统放进DMZ并不等于安全。
高可用组网用主备或负载分担消除单点。主备例子是主路由故障后切到备路由；双活可同时承载流量，但必须确认容量、状态同步和回切。两条链路若共用同一电源或同一管道，仍可能共同失效，不能只数设备数量。链路聚合把多条物理链路组成逻辑链路，单流通常仍受一成员链路及散列分配约束，不保证一个下载速度等于总带宽。
| 技术 | 解决的问题与工作方式 | 条件与例子 |
|---|---|---|
| VPN（虚拟专用网） | 在共享网络上提供逻辑专用通信 | IPsec可保护IP流量；TLS VPN适合受控远程接入，仍须认证授权 |
| 专线 | 由运营商提供约定连接与服务质量 | 不自动端到端加密，敏感业务仍应按威胁模型保护 |
| MPLS（多协议标签交换） | 边界分类后按标签转发 | 可承载L2/L3 VPN和流量工程，标签本身不是密码保护 |
| SDN（软件定义网络） | 控制平面与数据平面分离，由控制器编排 | 例如统一下发转发规则；控制器高可用和权限也要设计 |
| SD-WAN（软件定义广域网） | 统一编排多种广域链路并按应用策略选路 | 专线+宽带可按质量切换，不保证所有路径都低延迟 |
| 5G与IPv6 | 5G提供增强移动宽带eMBB、海量机器通信mMTC、超可靠低时延通信uRLLC等场景；IPv6扩大地址空间 | 网络切片是逻辑资源隔离，SLA与端到端时延须具体验证 |
本表是原理性对比。金融业IPv6改造确有政策推进背景：已实际读取中央网信办发布的建设银行IPv6部署案例（2022），其背景记载人民银行、银保监会、证监会联合发布金融行业实施意见，并列试点、规模推广、持续建设三个步骤。该页是官方刊载的机构实践材料，能够支持政策背景与建行实践，不能替代实施意见原文证明全部适用主体、期限及2026现行义务；文号、具体指标和效力链仍待取得原文核实。
实际迁移不是只开一个IPv6地址。该案例按基础架构、平台服务、应用系统、安全管控、统一运维五方面改造，采用IPv4/IPv6双栈及灰度发布。教学例：官网先确认接入线路、DNS AAAA、负载均衡和源站都支持IPv6，再检查WAF、访问控制、日志与监测是否同样覆盖IPv6，分批开放并测业务成功率；若安全策略只配置IPv4，地址可达也可能形成新暴露面。双栈是该案例选择，不是所有机构唯一可用迁移方式。
5.7.1 从现象到证据¶
排障不是背“ping不通就是断网”，而是明确哪一层、哪条路径、哪个方向出现了什么证据。先收集发生时间、影响范围、最近变更、目标IP/域名/端口，再检查：物理信号→VLAN与邻居→地址掩码路由→端口与状态→DNS、TLS与应用日志。每次改动后复测同一条链路，避免同时改多个条件无法判断原因。
| 工具 | 能证明/观察什么 | 不能直接证明什么 |
|---|---|---|
| ipconfig / ip addr / ip route | 本机地址、接口、路由配置 | 配置看起来正确不等于远端可达 |
| arp -a / ip neigh | IPv4邻居缓存及下一跳MAC | 不等于远端服务器MAC，异常项需结合真实网关核对 |
| ping | ICMP Echo响应与RTT | 无响应可能被过滤；有响应不证明443应用正常；命令用途也可从操作系统命令表查找 |
| tracert / traceroute | TTL逐步增加所探测的路径响应 | 星号可能是该跳不响应或限速，不必然就是断点；去回路径可不同 |
| netstat / ss | 本机监听、连接状态、端口使用 | LISTEN不表示防火墙放行或应用健康 |
| nslookup / dig | 指定解析器的DNS结果 | 正确IP不代表证书、路由或应用正常 |
| curl / 端口探测 | 建连、TLS及HTTP响应阶段 | TCP连接成功不代表业务登录成功 |
| telnet 主机 端口 | 若客户端已安装且允许连接，可尝试建立指定TCP端口连接，如telnet 192.0.2.10 443 |
传统telnet客户端不验证TLS/HTTP语义；终端空白只说明可能建立了TCP会话，失败也可能是客户端未安装、策略拒绝或网络超时，不能单凭一次结果定位故障 |
| tcpdump / Wireshark | 包的方向、握手、重传、RST等 | 加密载荷通常不可直接读取；抓不到也可能位置不对 |
Windows原生命令通常为tracert；回忆版2021题22把选项写成traceroute，应保留题文缺陷，不能把它改成Windows准确命令。
完整例子：IP能ping通，HTTPS打不开。 先用DNS工具核对域名得到的IP与访问目标相符；再探测443。若SYN反复而无SYN+ACK，查策略、回程路由和服务监听；若握手完成但TLS验证失败，查证书域名、信任链、时间和有效期；若收到502，说明网关已回应，应查上游地址和健康；若收到403，则查访问控制而非认定网络断开。因ICMP与TCP可能走不同策略，“ping通”只提供其中一条证据。
5.7.2 性能指标与监测¶
带宽在链路速率语境用bit/s，频带宽度则用Hz；吞吐量是实际单位时间交付量，有效吞吐量还需扣除非业务开销。时延包括发送L/R、传播d/v、处理和排队，抖动是时延变化，丢包率按统计分组口径计算。例如1000包丢20包得2%，不能直接推为有效吞吐必达链路速率98%，还存在头部、空闲与重传。
NTP（网络时间协议）同步时钟，让日志时间可比；Syslog汇集日志，SNMP（简单网络管理协议）轮询/Trap提供状态与告警，NetFlow/sFlow用于流量观测。监测要明确统计窗口与采样口径，例如采样流量不能不经估计直接当成逐包计费总量。复杂时延、带宽时延积与窗口算例集中在计算与分析。
资料依据与限制¶
手册PDF物理20—21页5.6—5.7；回忆版2021题22（4页），2022题60、70（9—10页），2024题62—63、84（22、24页）。IPv4转发/ICMP边界参照本次实际访问的RFC1812；另实际读取Microsoft Learn的ping、tracert、netstat说明，核对ICMP、TTL、星号与连接/监听观察边界；RFC5905、RFC5424、RFC3411核对NTP/Syslog/SNMP用途，RFC4301、RFC3031、RFC7426核对IPsec/MPLS/SDN原理，详见外部核查记录。其他工具、厂商参数、5G指标及监管要求未逐项核查，部分核实，不能据本页配置生产设备。