電腦網絡已連接卻時不時上不了網

接到客戶報修，說電腦上不了網了，近期網絡老是有時好有時壞。

在一個錯綜復雜的網絡環境里，經常會遇到電腦本身好好的，用著用著就上不了互聯網了，或是昨天關機前都是正常的，今天打開就不行了。這種現場多出現在具有多個辦公場所，如多個辦公室的網絡端口都聯到同一個局域網絡環境中。這個局域網絡或是公司內部網絡，又或是校園局域網絡。

遇到這樣的問題，我相信大多數網絡維護人員可能會給出以下檢修建議：

1、是不是電腦中病毒了，殺殺毒；

2、網線換過試了嗎？墻上的網口是不是壞了；

3、電腦系統出問題了吧，要不重裝個系統看看；

4、......

一般出現這種上不了網的問題，客戶基本是各種能試的方法都試了個遍，除了自己不會的，比如裝個系統，調試交換機，實在沒辦法了，才報修。

經過排查發現電腦在上不了網的時候，自動獲取的IP地址信息是不對的。

到這你是不是發現快速的解決方法啦，我猜你也會動這個念頭---直接配置固定IP地址信息。

作為一個合格的網絡維修員，或說作為一個負責任的人，應該是找到故障源，把問題真正解決了。

經過一番排查，發現故障源是一個家用型的路由器。想了解如何排查，快速找到故障源的，在評論區留言。當家用型路由器開啟了DHCP功能，且將LAN口接入到局域網絡時，就會出現上述的問題。

問題原因找到了，怎么解決呢？

可以把這個家用型路由器的WAN口接入局域網絡，WAN口配置自動獲取IP地址，LAN口連接電腦即可解決問題。

但是這種解決方法不能一勞永逸，如果在網絡中別的地方再出現類似家用路由器呢，還是會問題重現。

徹底的解決方法是屏蔽掉所有在網絡中可能出現的此類現象。

下圖是簡易的網絡環境中網絡拓撲示意圖：

小型局域網中DHCP服務架構

終端電腦都連到接入交換機上，匯聚交換機提供網關和DHCP服務。正常情況下，電腦都從網關那獲取IP地址信息。如果有一天，在這個網絡中多了一個提供DHCP服務的設備，那么此設備也會為網絡中的某些終端分配IP地址信息。如下圖：

網絡中私接的路由器提供DHCP服務

在網絡中的某個場所加入了一臺家用型路由器，或是加入了某臺交換機且提供了DHCP，如下圖：

接入網絡中新增未知DHCP服務

只要加入的設備提供了DHCP服務，不管它是臺電腦服務器，還是交換機、路由器，都會對網絡中的終端產生一定的影響。即使它給終端分配的是正確且可以聯網的地址，也影響現有的網絡環境，比如包括但不限于IP地址沖突、網絡安全等。

我們把此類非授權（未經網絡管理員允許）的DHCP服務器稱作偽DHCP，在實際生產環境中是要杜絕的。

針對此類非授權的DHCP服務器可以使用dhcp snooping工具屏蔽掉。

Dhcp Snooping的功能是放行或阻止DHCP服務器向DHCP客戶端發出的相關報文，對于已授權的DHCP服務器采用信任放行動作，對于非授權的DHCP服務器采取非信任阻止動作。對于DHCP服務的工作原理，不明白的可以在評論區留言或查閱其他資料，這里不作闡述。

下面來看看如何實施dhcp snooping，以上圖的偽DHCP應用為例，在接入交換機上實施以下配置步驟：

1、在全局使能dhcp，如dhcp enable，service dhcp

2、在全局使能dhcp snooping，如dhcp snooping enable，ip dhcp snooping

3、在全局為受保護的vlan使能dhcp snooping，不同品牌交換機有所不同，如華為、華三交換機需要此配置，銳捷、思科交換機不需要此配置。如dhcp snooping enable vlan 40

4、將上行端口配置為信任端口，如dhcp snooping trusted，ip dhcp snooping trust

一般是將與授權 DHCP 服務器直接或間接連接的端口設置為信任端口。如此，沒有配置為信任的端口就不能轉發DHCP服務報文，比如接入交換機的g0/0/2端口。

至此，網絡中的授權DHCP 服務器將受到保護，保障網絡穩定和安全。

有人說，要是偽DHCP服務器沒有連到接入交換機，而是接到了匯聚交換機上呢？如下圖：

匯聚網絡中新增未知DHCP服務

正常情況下，匯聚設備是不允許直接連終端的，假如存在的話，那也好辦，在匯聚交換機上執行上述的前三步配置即可，不需要配置信任端口。

最后還有一個問題，老鐵們思考一下，如果授權的DHCP服務器不是由此匯聚交換機擔任，而是由上游路由器或接在三層的電腦服務器擔任，Dhcp Snooping配置是否有變化。