【正文】 無法上網(wǎng)。 聯(lián)動建立后，web不能訪問交換機(jī)需要檢查以下配置：l 交換機(jī)上是否開啟了web 服務(wù)l 交換機(jī)是否配置了默認(rèn)網(wǎng)關(guān)l NBR是否啟用NATl NBR是否處于公網(wǎng)模式。如果處于公網(wǎng)模式，需要打開IE選項中的“跨域訪問”開關(guān)。 .*.*的IP地址NBR發(fā)現(xiàn)某一MAC地址存在欺騙嫌疑，卻沒有ARP表項時，.*.*的特殊IP地址。這一動作是為了防止欺騙主機(jī)后續(xù)再發(fā)出ARP欺騙報文。.*.*的靜態(tài)三元素綁定表項時，檢查MAC地址對應(yīng)主機(jī)是否中毒。如果確認(rèn)該主機(jī)已正常了，可以在web的安全地址綁定表中選擇該靜態(tài)三元素綁定表項刪除。 NBR不停提示“交換機(jī)硬件資源不足，導(dǎo)致綁定不成功”不停提示這個信息表示有PC一直無法完成綁定。在S57/S27/S29接S18確認(rèn)是否有PC接在端口鏡像的目的口上，如果存在就是正常的。因為端口鏡像目的口不能配置端口安全，所以一直無法綁定。 彈性帶寬中的保留帶寬和最大帶寬保留帶寬：彈性帶寬調(diào)整時的底線值，當(dāng)彈性帶寬發(fā)揮作用時，用戶分配到的帶寬不會小于這個值。當(dāng)用戶使用的帶寬超過這個值，并且彈性帶寬需要做限速時，這個值將成為限速的上限。最大帶寬：用戶可能分配到的最大帶寬。 如何配置彈性帶寬？配置彈性帶寬時必須設(shè)置的值：l 總帶寬。注意：總帶寬越貼近實際越好，若不設(shè)置，彈性帶寬無法啟用，所有用戶只分配到保留帶寬。l 保留帶寬和最大帶寬。注意：可以參考該網(wǎng)吧以前配置的限速值，建議保留帶寬為以前的限速上限，最大帶寬為保留帶寬的23倍。可選配置：彈性帶寬的停止條件。停止條件可以是帶寬利用率（值為1%100%），也可以是用戶數(shù)量(值為110000)，默認(rèn)值為帶寬利用率達(dá)到90%時停止彈性帶寬。L 彈性帶寬和ip限速無法同時配置，如果想單獨為某個ip限速，必須先在彈性帶寬里刪除這個ip地址，反之亦然。 彈性帶寬停止時路由器如何限速？在停止條件里未設(shè)置用戶數(shù)量參數(shù)時，彈性帶寬以帶寬利用率為標(biāo)準(zhǔn)，當(dāng)帶寬利用率達(dá)到設(shè)定值時（默認(rèn)為總帶寬的90%），彈性帶寬開啟限速功能，限速值為保留帶寬。限速前占用帶寬大于保留帶寬的用戶速度將降到保留帶寬。在停止條件里設(shè)置用戶數(shù)量參數(shù)時，彈性帶寬將同時以這兩個用戶數(shù)量和帶寬利用率為標(biāo)準(zhǔn)，任一數(shù)值達(dá)到限定值時，都將開啟限速功能。限速值為保留帶寬。 如何實現(xiàn)游戲帶寬保證功能？游戲帶寬保證是通過ACL來實現(xiàn)的。NBR定義了一個2699的ACL，其中禁止的端口為大部分游戲使用的端口，使用如下命令在非游戲流量超過設(shè)定值時丟棄非游戲報文，達(dá)到保證游戲流量的目的。NBR(configif)ratelimit input accessgroup 2699 2000000 500000 500000 conformaction continue exceedaction drop這命令中的3個數(shù)值的含義：l 2000000：用戶自行定義的非游戲流量最大帶寬l 500000：默認(rèn)突發(fā)流量，NBR自行設(shè)置為最大帶寬的25%l 500000：最大突發(fā)流量，NBR自行設(shè)置為最大帶寬的25% 限速和彈性帶寬可以共存限速和彈性帶寬可以共存。共存時優(yōu)先關(guān)系如下：l ip/range指定的限速l ip/range指定的彈性帶寬l default指定的彈性帶寬l default指定的限速 訪問NBR web 界面慢可能原因是：l NBR比較忙、CPU較高l NBR啟動了抗內(nèi)網(wǎng)攻擊 無法telnet NBR1200有可能的原因有：l CPU利用率比較高。l NBR系列只允許5個telnet連接，如果已經(jīng)有5個人telnet上來，其他 人就無法telnet了。l 在line vty 下建議不要配置exectimeout 0 0，這樣有可能在用戶異常斷線時，連接依舊存在的情況。l NBR只允許100個tcp連接，如果系統(tǒng)受到攻擊，導(dǎo)致系統(tǒng)已經(jīng)建立了100個連接，則無法telnet了，建議配置service tcpkeepalivesin 30。 開啟信任arp機(jī)制后在路由器上看到多個ip對應(yīng)同一個MAC出現(xiàn)這種情況是由于配置錯誤導(dǎo)致的，需要在57的vlan 1或者三層接口關(guān)閉arp代理。 聯(lián)動后出現(xiàn)部分主機(jī)無法上網(wǎng)首先檢查聯(lián)動配置是否正確，接著查看接入交換機(jī)有沒有主機(jī)的MAC/IP綁定，再查看網(wǎng)關(guān)設(shè)備上是否有主機(jī)的arp表項，最后檢查NBR上是否有主機(jī)的ARP表項且狀態(tài)標(biāo)示是否正確。 NBR的arp表中的trust狀態(tài)l “trust”代表路由器發(fā)出了綁定命令給交換機(jī)，但是沒收到交換機(jī)的確認(rèn)l “。trust ?！贝砺酚善靼l(fā)出了綁定命令給交換機(jī)且收到了交換機(jī)的確認(rèn)l “trust?！贝戆l(fā)出解綁命令給交換機(jī)，未收到交換機(jī)確認(rèn) ？以NBR1200為例：Int f0/ //創(chuàng)建子接口Ip add //配置ip地址Encapsulation dot1Q 2 //，把該子接口配置為vlan 2Vlan port 0 3 tag //接口出去的數(shù)據(jù)打上vlan 2的標(biāo)記，接口識別帶vlan 2標(biāo)簽的數(shù)據(jù) 如何使用show命令排查故障？一般常用的show命令如下：show run ，show log，show cpu，show interface ，show arp，show ip nat statistics peruser，show ip nat translations flowrate inbound/outbound，show security等。show run顯示當(dāng)前配置，主要用來確認(rèn)配置是否正確。show log顯示當(dāng)前日志。可以檢查路由器是否受到攻擊、網(wǎng)絡(luò)中是否有arp欺騙發(fā)生等，在新版本中增加了中文日志方便用戶查看，具體細(xì)節(jié)參看日志篇。Show cpu輸出信息如下：CPU utilization for five seconds: 3% //5秒鐘內(nèi)CPU使用的平均值CPU utilization for one minute : 2% //1分鐘內(nèi)CPU 使用的平均值CPU utilization for five minutes: 2% //5分鐘內(nèi)CPU使用的平均值CPU utilization peak for five seconds: 5%,at: 197035 3:55:48 //5秒鐘內(nèi)CPU使用的最高值CPU utilization peak for one minute : 4%,at: 197035 3:20:33 //1分鐘內(nèi)CPU使用的最高值CPU utilization peak for five minutes: 4%,at: 197035 3:59:48 //5分鐘內(nèi)CPU使用的最高值cpu利用率高有如下幾種可能：l 路由器所帶主機(jī)數(shù)超過本身的帶機(jī)數(shù)量。l 路由器受到大流量的攻擊。l 網(wǎng)絡(luò)中多臺主機(jī)中毒頻繁發(fā)出大量需要路由器處理的報文。Show interface輸出信息如下：========================== GigabitEthernet 0/0 ========================GigabitEthernet 0/0 is UP , line protocol is UP //物理層、協(xié)議層upHardware is PQ3 TSEC GIGABIT ETHERNET CONTROLLER GigabitEthernet, address is 00d (bia ) //MAC地址Interface address is: ARP type: ARPA,ARP Timeout: 3600 seconds //arp表超時時間 MTU 1500 bytes, BW 1000000 Kbit //MTU和帶寬 Encapsulation protocol is EthernetII, loopback not set Keepalive interval is 10 sec , set Carrier delay is 2 sec //載波延遲時鐘，以2s為周期檢查線路狀態(tài)， RXload is 1 ,Txload is 2 Queueing strategy: FIFO //隊列處理策略 Output queue 0/40, 0 drops。 //隊列長度40，當(dāng)前使用0，丟棄0 Input queue 0/75, 0 drops 5 minutes input rate 3033495 bits/sec, 2266 packets/sec //5分鐘內(nèi)平均每秒上傳（由于是內(nèi)網(wǎng)口）的流量3M 5 minutes output rate 11958761 bits/sec, 2392 packets/sec //5分鐘內(nèi)平均每秒下載（由于是內(nèi)網(wǎng)口）的流量12ML 內(nèi)網(wǎng)口下載（out方向）流量和外網(wǎng)口（in方向）下載流量應(yīng)該屬于一個單位數(shù)量級。如果差距很大則有可能存在攻擊。 403999134 packets input, 4164667868 bytes, 0 res lack, 0 no buffer,0 dropped Received 4258185 broadcasts, 0 runts, 0 giants //接受到4258185個廣播包，0個碎片，0個巨型幀，廣播包太多會影響網(wǎng)絡(luò)性能，arp欺騙時廣播包也很多 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 abort 430112008 packets output, 453071391 bytes, 0 underruns,66 dropped 0 output errors, 0 collisions, 3 interface resets Link Mode: 1000M/FullDuplex, mediatype is twistedpair.Output flowcontrol is off。Input flowcontrol is off.Show arp通過查看arp表檢查arp表項里主機(jī)ip和其MAC地址對應(yīng)關(guān)系，當(dāng)主機(jī)無法和網(wǎng)關(guān)通信時，可在主機(jī)和路由器上分別查看arp表項，確保ip和MAC的正確對應(yīng)。show ip nat statistics peruser輸出信息如下：NAT inside user count: 320, peak: 329 @ 1d,12:00:13 ago //當(dāng)前用戶為320，最多時為329Maximum nat entries for inside per user ip: 300 //每個ip最大進(jìn)程數(shù)為300NAT inside user(all): 329 //內(nèi)部共有用戶329個IP count config 3 0 0 0 1 0 7 0 11 0 1 0 0 0 5 0 9 0 298 0 //有298個NAT進(jìn)程，說明該主機(jī)再使用P2P軟件，當(dāng)網(wǎng)絡(luò)延時大或卡的時候很有可能是部分主機(jī)在使用下載工具show ip nat translations flowrate inbound當(dāng)網(wǎng)絡(luò)出現(xiàn)延時大或者游戲較卡時，可通過此命令查看帶寬使用情況，找出是誰在占用大量帶寬。輸出信息如下：Online User number:130 //當(dāng)前在線用戶130個Total inbound:977 Kbps //上傳占用的帶寬為977KbpsTotal outbound:7458 Kbps //下載占用的帶寬為7458KbpsIP Inbound(Kb/sec) Outbound(Kb/sec) IsLimit IsSpecial 200 500 * * //該ip占用上傳帶寬為200Kbps，下載為500Kbps 181 167 * * 68 543 49 280 * * 43 491 * * 41 500 * * 38 18 * * 31 244 * *show security輸出信息如下：Wan attack parameter