交换机一接上就断网、明明插的是千兆线协商出来却只有10兆、POE摄像头过几小时就掉线一次、端口显示UP但业务就是不通……这类问题做网络运维的谁没遇到过。接口故障排查是交换机维护里最基础也最容易翻车的一环难点不在命令有多复杂而在于很多人的排查顺序是乱的——一会儿查配置一会儿换网线最后发现是光模块脏了或者是端口被人手动改过双工模式。这篇文章把我这些年踩过的坑和常用的排查套路完整整理一遍覆盖华为、H3C、锐捷、思科这几大常见厂商的命令和思路适合刚接手网络设备的运维新人也适合带团队做标准化排查的老手拿来当参考。1. 接口故障排查先分清类型再动手1.1 从报障信息里抓重点接到一个“网络有问题”的工单不要急着上设备敲命令先把报障信息拆开看。同一个“接口故障”用户嘴里的描述和实际情况往往差很远。有人说“网速只有10兆”这大概率是协商速率异常有人说“网口灯亮但数据传不出去”这可能是VLAN或双工问题还有人说“摄像头画面每隔一段时间就断”这种多半是POE供电不稳或光模块收发光异常。我一般会在工单里直接列三个问题出现故障的具体时间点影响的是所有终端还是单个终端故障前有没有人动过配置或物理线路。这三个信息能帮你把排查范围缩小一多半。比如故障是全楼所有终端同时断网那基本可以排除单根网线和单端口问题重点去看上联口、汇聚交换机或者核心侧的链路优先检查是不是存在环路、广播风暴或者上联光口松动。如果只有某台PC出问题那大概率就是这一跳的物理链路或者端口配置。1.2 物理层问题与链路层问题怎么区分很多刚入行的同事拿到一个接口故障先去看VLAN、去看ACL折腾半天发现网线头都没压好这是典型的排查顺序错误。只要业务不通你第一步要回答的问题是物理层是不是正常的换句话说接口状态是不是UP链路协商出来的速率和双工模式对不对。物理层问题通常表现得很直接接口是DOWN的、指示灯不亮、协商速率掉到10M或者出现大量CRC错误。链路层问题则隐蔽得多端口显示UP光功率也正常但PING丢包、ARP学不到、某个VLAN内不通而其他VLAN正常。判断这两类问题最有效的办法就是看端口状态输出的“current state”和“Line protocol”这两行。我用华为设备最多display interface里如果current state是DOWN说明物理层没起来如果current state是UP但Line protocol是DOWN那多数据链路协商或者协议层面卡住了。思科设备同理注意看show interface输出里的“is up / line protocol is up”第一段是物理第二段是协议两个都UP才代表这条链路真正通。2. 工具准备与厂商命令入口2.1 硬件与线缆检查排查接口问题不能只靠命令行物理层的很多故障必须靠工具去验证。我随身工具包里常备这几样一根USB转console线现在很多笔记本没有串口转接线一定要带驱动、一台手持式网线测试仪、一个光功率计、一支橡皮擦和一瓶分析纯酒精。听起来很基础但光模块氧化、网线水晶头虚接这种问题比任何配置错误都常见。网线测试仪的使用有个小技巧测线之前先轻轻弯折一下线缆两端观察测试仪上的灯有没有闪烁或者变暗。如果弯折时灯不稳定基本可以判断线缆内部有断芯或者水晶头压接不牢。光功率计使用前先查一下对端设备的收发光范围拿华为的设备举例一般单模模块的接收光功率在-20dBm以上比较好如果测出来低于-24dBm甚至更低哪怕链路现在是通的过段时间大概率会因为灰尘或者光纤衰耗累积导致接口闪断。2.2 各厂商的常用命令入口你会用一台华为交换机的命令不等于你会用锐捷和思科。虽然各厂商命令思路相似但细节差异很大。我在这里整理一个最基础的命令入口对照表先把这几条背下来接口排查基本够用。操作类型华为 / H3C锐捷思科进入系统视图system-viewconfigure terminalconfigure terminal查看端口状态display interface GigabitEthernet 0/0/1show interfaces GigabitEthernet 0/1show interfaces GigabitEthernet0/1查看端口摘要display interface briefshow interface statusshow ip interface brief查看MAC地址表display mac-addressshow mac-address-tableshow mac address-table查看光模块信息display transceiver interface GigabitEthernet 0/0/1show transceiver interface GigabitEthernet 0/1show interface transceiver清空接口计数reset counters interface GigabitEthernet 0/0/1clear counters interface GigabitEthernet 0/1clear counters interface GigabitEthernet0/1端口镜像observe-port 1 interface GigabitEthernet 0/0/2monitor session 1 source interface Gi0/2monitor session 1 source interface Gi0/2光看表没用你得知道每条命令在什么场景下用。display interface brief适合快速扫一圈所有端口状态发现哪个接口DOWN得异常再去单独看详细输出display mac-address用来确认终端有没有在交换机上学习到MAC如果MAC地址都不存在那问题基本出在二层链路而不是上层配置。3. 核心排查流程按顺序做不跳步3.1 第一步看端口状态和协商结果所有接口故障排查我强烈建议从端口状态的详细输出开始不要直接去看配置。拿一个最常见的“PC插上网线只能协商到100M”的场景举例在华为交换机上执行display interface GigabitEthernet 0/0/1输出里重点看这几项current state和Line protocol state两个都UP才是正常。Speed和Duplex是否和你预期的一致是1000M/Full还是掉到了100M/Full。Negotiation是自动协商还是手动强制模式。很多老设备强制过双工换新交换机后没改回来就会出现速度对不上。这里要特别提醒一个容易被忽略的细节网线质量差也可能导致协商速率下降但交换机端口并不一定会报错。比如一根只有四芯接通的网线设备往往能协商上百兆或十兆但千兆绝对起不来。所以看到速率不对先别急着改端口配置把网线换一根测试线试试可能比调任何命令都有效。协议层面的问题我还会顺手看下接口的VLAN类型和PVID。display interface输出里有一行类似Link-type: access, PVID: 1如果终端所在的VLAN和端口PVID不一致即使物理层是UP的业务流量也可能完全不通。这个问题在交接维护时特别常见设备是新来的同事调的VLAN配置看着没问题实际上PVID写错了。3.2 第二步查错误计数器和光模块端口能正常UP并不代表链路是健康的。我见过太多案例接口状态稳定但CRC错误计数一直在涨最终表现为间歇性丢包。看错误计数器的命令不复杂但需要知道“哪些错误意味着什么”。在华为交换机上执行display interface GigabitEthernet 0/0/1往下翻重点看Input和Output两个方向上的错误尤其是这几类CRC错误通常表示物理层存在干扰、网线过长或水晶头接触不良。Runts小于最小帧长的帧和Giants超过最大帧长的帧可能和双工不匹配有关。Collisions冲突帧在传统以太网里常见全双工模式下如果出现大量冲突多半是端口被强制成了半双工。有一个坑特别值得说错误计数器是累计的你不一定知道它是什么时候涨起来的。所以排查时一定要先清空计数再等上一段时间观察reset counters interface GigabitEthernet 0/0/1然后等个5到10分钟再回来看。如果清零之后没有新错误说明之前的错误可能是历史遗留或者瞬时干扰如果还在涨就真的要换线、换模块了。光模块排查使用以下命令display transceiver interface GigabitEthernet 0/0/1主要看温度和收发光功率。模块温度过高往往是光模块老化或散热不良的前兆接收光功率过低会导致误码率飙升链路时好时坏。华为设备上如果光功率低于阈值输出里会直接标出告警提示。物理上处理起来也很简单把光纤拔下来用无尘纸蘸酒精轻轻擦拭光纤端面和模块端面重新插回去再测一次很多时候问题就解决了。3.3 第三步日志、告警和丢包测试端口状态和光模块都看了链路看起来还是“健康”的但业务就是有问题这时候需要看设备日志和丢包测试。交换机是局域网的“哑设备”正常情况下不会有什么输出一旦出现关键事件往往就是故障前兆。华三和华为设备上查看日志的命令差不多display logbuffer注意看有没有接口状态反复UP/DOWN的记录。我在现网里遇到过一次特别诡异的问题某个接入交换机的上联口每隔15分钟闪断一次但接口协议恢复得很快普通PING根本测不出来。翻日志才发现是光模块里进了水汽温度一上来就瞬断。这种问题靠PING很难捕获但日志里的事件时间点会非常规律一眼就能看出来。如果怀疑是链路质量导致的间歇性丢包最佳验证手段不是长PING而是持续PING加记录丢包率。Windows下用ping -tLinux下用ping默认持续或者用mtr看整条链路的每一跳丢包情况。当丢包发生在第一跳交换机接口上而后续设备都正常问题基本就锁定在这根网线或这个端口上。4. 三个典型故障场景实战4.1 场景一插上千兆线协商出来只有10兆这是接入层最常被报障的一个问题。用户说“我们明明买的是千兆交换机和千兆网卡为什么电脑显示只有10Mbps”。第一次遇到这个问题的新人往往会去电脑网卡属性里把速度和双工改成1.0 Gbps Full Duplex但这其实是错误做法。正确排查链路协商问题要分三步走。先看交换机侧端口协商结果在华为设备上执行display interface GigabitEthernet 0/0/1看Speed字段。如果显示10再看Negotiation字段。如果显示ENABLE说明交换机侧没有强制问题大概率在线缆或对端网卡。找一根确定正常的成品网线换上去如果协商回到1000M那就是原网线的问题。如果依然是10M再把笔记本直接插到交换机上测试排除用户电脑网卡问题。还要注意一个特例我在新的25GE端口上遇到过几次交换机的25GE口插的是千兆光模块但模块接入后协商不上来速率直接显示10M或者DOWN。这时候需要在接口下手动把速率和双工指定为千兆思科和华为命令略有差异思路是一致的。华为交换机接口下的配置大概是interface 25GE 0/0/1 speed 1000 duplex full undo negotiation auto配置完再用display interface确认协商结果。这里有个陷阱强制了速率之后如果对端设备不支持强制或者网线质量不达标接口可能会直接DOWN或者疯狂报错所以强制命令只是在自协商失效时的备用方案不是首选。4.2 场景二POE摄像头反复掉线海康、大华这类监控摄像头现在大量使用POE交换机供电用户反馈的典型问题是“晚上掉线白天正常”或者“每隔几小时摄像头就掉一次”。很多人第一反应是去查IP地址冲突但实际上POE供电不稳定才是头号嫌疑。排查POE摄像头掉线先看交换机端口上的供电状态。以华为POE交换机为例display poe-power-state interface GigabitEthernet 0/0/1重点关注供电电压和功耗。摄像头的实际功耗会随着红外灯开启而升高晚上红外灯工作功耗可能比白天高好几瓦。如果交换机端口POE供电预算不足或者线缆质量差造成供电衰减就会在某个临界点触发端口重启。这里有一个很容易踩的坑POE交换机总功率是有限的你不能光看单独端口有没有供电能力还要看整台设备的POE预算。查看POE总功率display poe-power注意看Total Power和Used Power。如果整机供电已经接近上限某一台摄像头重新启动时的瞬时浪涌功率会直接把端口供电顶掉。处理方式很粗暴也有效把摄像头转移到另一台POE交换机上或者给功耗最高的几个端口单独用POE供电模块给整机留出余量。另外POE摄像头掉线也可能是网线压接时只做了1236四芯但POE供电却需要用到4578。这种情况下摄像头能通电但通信质量很差画面会频繁卡顿甚至掉线。如果你用网线测试仪测出来是8芯全通才能排除这个因素。4.3 场景三核心能远程到接入交换机但PC就是登不上服务器这个场景来自一个真实的运维留言从核心交换机telnet任何一台接入交换机都正常但从接入交换机的PC去远程登录某台服务器就失败。这类问题最容易让人绕圈子因为“核心能通”会误导你让你觉得网络路径是通的。先说结论核心交换机telnet接入交换机走的是管理 VLAN而PC访问服务器走的是业务VLAN两条路径可能根本不在一个二层域里。你要先确认PC所处的VLAN是不是和服务器在同一VLAN如果在同一VLAN直接看PC的网关和ARP在PC上PING网关如果能通再看PC能否访问同VLAN里的其他设备用排除法缩小范围。如果PC和服务器不在同一VLAN那就涉及三层路由和防火墙策略了。我的排查顺序是先在接入交换机上看PC学到的MAC地址是否正常display mac-address GigabitEthernet 0/0/1确认PC的MAC出现在这个端口上。然后到核心交换机上看PC网段的网关有没有ARP响应display arp | include 192.168.10.100如果ARP学不到问题多半在VLANIF接口或VLAN划分上如果能学到但远程登录依然失败就要检查是否有ACL拦截、远程管理服务是否只允许特定源地址以及PC自己的防火墙有没有挡住入站连接。这里一定要养成一个习惯不要在同一台设备上反复试要在不同层次分别验证——接入层看VLAN核心层看路由终端看网关和ARP这样才能快速缩小范围。5. 常见问题速查与长期手段5.1 端口显示UP但业务不通的隐性原因有一种故障比端口DOWN更难排查端口状态是UP的链路速度也正常但业务就是不通。我在日常维护里总结出几个高频原因按出现概率排序现象常见原因快速验证方法UP但PING网关不通端口PVID或VLAN划分错误display port vlanUP但在MAC表里看不到终端接口被配置成了Trunk且PVID不匹配display interface briefUP但有大量CRC错误双工不匹配或网线质量差reset counters后观察单个端口流量极高出现环路广播风暴被限制在端口内display mac-address看到异常漂移端口UP但光功率过低光纤衰减大、模块脏污display transceiver环路问题值得多说一句。很多环路并不表现为整网瘫痪而是某个端口流量异常偏高因为STP被打开但收敛不彻底。遇到端口流量莫名其妙的跑满我第一反应不是看端口配置而是看MAC地址表有没有地址漂移现象display mac-address如果同一个MAC地址反复在多个接口下出现基本可以判断下联交换机之间有一条环路。处理方式是把下联设备先断开一根线观察端口流量是否降下来然后再去理清正确的拓扑。5.2 厂商命令速查表命令记不住是很正常的事网工不是靠背命令吃饭的。我把自己常用的一套“接口故障排查命令包”贴在下面遇到问题照着敲就行。这套命令在华为和H3C上基本通用锐捷多数也兼容思科略有差异。看全局端口状态display interface brief看单端口详细状态和错误计数display interface GigabitEthernet 0/0/1看光模块信息display transceiver interface GigabitEthernet 0/0/1清空端口计数重新观察reset counters interface GigabitEthernet 0/0/1看接口有没有被配置成镜像或策略display current-configuration interface GigabitEthernet 0/0/1思科设备对应的命令是show interfaces status、show interface GigabitEthernet0/1、show interface transceiver和clear counters命令位置不一样但查询思路完全一样。5.3 让故障“自首”日志服务器与监控接口故障最大的成本在于发现问题和定位问题而不是修问题。你不可能24小时盯着交换机敲命令所以长期维护一定要在网络里部署日志收集和监控告警。日志这块华三和华为交换机都支持把日志实时发送到远端日志服务器配置思路是设置日志主机地址和开启信息中心。以华为交换机为例info-center enable info-center loghost 192.168.100.200配置完成之后所有接口UP/DOWN、光模块异常、POE供电故障这类日志都会实时打到日志服务器上。再配一个简单的告警规则接口状态变为DOWN超过1分钟就触发通知基本能做到故障自首。监控这块现在中小机房的通用做法是SNMP配合Prometheus通过snmp_exporter采集交换机的接口流量、错误计数和光模块状态再用Grafana出图。配置好之后你不需要等用户报障直接看趋势图就能发现某些端口CRC错误在缓慢上涨——这种提前量比事后救火有用得多。如果你的核心机房用的是虚拟化网络架构比如vCenter里的分布式交换机排查思路也可以参考这篇文章先看端口组的状态再看绑定策略和VLAN配置底层物理链路的问题同样会体现在虚拟交换机端口上。最后说一个我自己的小习惯每次处理完一个接口故障我都会把问题现象、根因、处理命令和耗时记到一个简单的文档里。半年以后翻出来看最常见的故障永远是那几种——网线老化、光模块脏污、配置变更没记录。把这些高频问题固化成标准操作手册后续再遇到同类问题就不需要重新踩一遍坑了。
交换机接口故障排查指南：从端口协商到业务不通的实战思路
交换机一接上就断网、明明插的是千兆线协商出来却只有10兆、POE摄像头过几小时就掉线一次、端口显示UP但业务就是不通……这类问题做网络运维的谁没遇到过。接口故障排查是交换机维护里最基础也最容易翻车的一环难点不在命令有多复杂而在于很多人的排查顺序是乱的——一会儿查配置一会儿换网线最后发现是光模块脏了或者是端口被人手动改过双工模式。这篇文章把我这些年踩过的坑和常用的排查套路完整整理一遍覆盖华为、H3C、锐捷、思科这几大常见厂商的命令和思路适合刚接手网络设备的运维新人也适合带团队做标准化排查的老手拿来当参考。1. 接口故障排查先分清类型再动手1.1 从报障信息里抓重点接到一个“网络有问题”的工单不要急着上设备敲命令先把报障信息拆开看。同一个“接口故障”用户嘴里的描述和实际情况往往差很远。有人说“网速只有10兆”这大概率是协商速率异常有人说“网口灯亮但数据传不出去”这可能是VLAN或双工问题还有人说“摄像头画面每隔一段时间就断”这种多半是POE供电不稳或光模块收发光异常。我一般会在工单里直接列三个问题出现故障的具体时间点影响的是所有终端还是单个终端故障前有没有人动过配置或物理线路。这三个信息能帮你把排查范围缩小一多半。比如故障是全楼所有终端同时断网那基本可以排除单根网线和单端口问题重点去看上联口、汇聚交换机或者核心侧的链路优先检查是不是存在环路、广播风暴或者上联光口松动。如果只有某台PC出问题那大概率就是这一跳的物理链路或者端口配置。1.2 物理层问题与链路层问题怎么区分很多刚入行的同事拿到一个接口故障先去看VLAN、去看ACL折腾半天发现网线头都没压好这是典型的排查顺序错误。只要业务不通你第一步要回答的问题是物理层是不是正常的换句话说接口状态是不是UP链路协商出来的速率和双工模式对不对。物理层问题通常表现得很直接接口是DOWN的、指示灯不亮、协商速率掉到10M或者出现大量CRC错误。链路层问题则隐蔽得多端口显示UP光功率也正常但PING丢包、ARP学不到、某个VLAN内不通而其他VLAN正常。判断这两类问题最有效的办法就是看端口状态输出的“current state”和“Line protocol”这两行。我用华为设备最多display interface里如果current state是DOWN说明物理层没起来如果current state是UP但Line protocol是DOWN那多数据链路协商或者协议层面卡住了。思科设备同理注意看show interface输出里的“is up / line protocol is up”第一段是物理第二段是协议两个都UP才代表这条链路真正通。2. 工具准备与厂商命令入口2.1 硬件与线缆检查排查接口问题不能只靠命令行物理层的很多故障必须靠工具去验证。我随身工具包里常备这几样一根USB转console线现在很多笔记本没有串口转接线一定要带驱动、一台手持式网线测试仪、一个光功率计、一支橡皮擦和一瓶分析纯酒精。听起来很基础但光模块氧化、网线水晶头虚接这种问题比任何配置错误都常见。网线测试仪的使用有个小技巧测线之前先轻轻弯折一下线缆两端观察测试仪上的灯有没有闪烁或者变暗。如果弯折时灯不稳定基本可以判断线缆内部有断芯或者水晶头压接不牢。光功率计使用前先查一下对端设备的收发光范围拿华为的设备举例一般单模模块的接收光功率在-20dBm以上比较好如果测出来低于-24dBm甚至更低哪怕链路现在是通的过段时间大概率会因为灰尘或者光纤衰耗累积导致接口闪断。2.2 各厂商的常用命令入口你会用一台华为交换机的命令不等于你会用锐捷和思科。虽然各厂商命令思路相似但细节差异很大。我在这里整理一个最基础的命令入口对照表先把这几条背下来接口排查基本够用。操作类型华为 / H3C锐捷思科进入系统视图system-viewconfigure terminalconfigure terminal查看端口状态display interface GigabitEthernet 0/0/1show interfaces GigabitEthernet 0/1show interfaces GigabitEthernet0/1查看端口摘要display interface briefshow interface statusshow ip interface brief查看MAC地址表display mac-addressshow mac-address-tableshow mac address-table查看光模块信息display transceiver interface GigabitEthernet 0/0/1show transceiver interface GigabitEthernet 0/1show interface transceiver清空接口计数reset counters interface GigabitEthernet 0/0/1clear counters interface GigabitEthernet 0/1clear counters interface GigabitEthernet0/1端口镜像observe-port 1 interface GigabitEthernet 0/0/2monitor session 1 source interface Gi0/2monitor session 1 source interface Gi0/2光看表没用你得知道每条命令在什么场景下用。display interface brief适合快速扫一圈所有端口状态发现哪个接口DOWN得异常再去单独看详细输出display mac-address用来确认终端有没有在交换机上学习到MAC如果MAC地址都不存在那问题基本出在二层链路而不是上层配置。3. 核心排查流程按顺序做不跳步3.1 第一步看端口状态和协商结果所有接口故障排查我强烈建议从端口状态的详细输出开始不要直接去看配置。拿一个最常见的“PC插上网线只能协商到100M”的场景举例在华为交换机上执行display interface GigabitEthernet 0/0/1输出里重点看这几项current state和Line protocol state两个都UP才是正常。Speed和Duplex是否和你预期的一致是1000M/Full还是掉到了100M/Full。Negotiation是自动协商还是手动强制模式。很多老设备强制过双工换新交换机后没改回来就会出现速度对不上。这里要特别提醒一个容易被忽略的细节网线质量差也可能导致协商速率下降但交换机端口并不一定会报错。比如一根只有四芯接通的网线设备往往能协商上百兆或十兆但千兆绝对起不来。所以看到速率不对先别急着改端口配置把网线换一根测试线试试可能比调任何命令都有效。协议层面的问题我还会顺手看下接口的VLAN类型和PVID。display interface输出里有一行类似Link-type: access, PVID: 1如果终端所在的VLAN和端口PVID不一致即使物理层是UP的业务流量也可能完全不通。这个问题在交接维护时特别常见设备是新来的同事调的VLAN配置看着没问题实际上PVID写错了。3.2 第二步查错误计数器和光模块端口能正常UP并不代表链路是健康的。我见过太多案例接口状态稳定但CRC错误计数一直在涨最终表现为间歇性丢包。看错误计数器的命令不复杂但需要知道“哪些错误意味着什么”。在华为交换机上执行display interface GigabitEthernet 0/0/1往下翻重点看Input和Output两个方向上的错误尤其是这几类CRC错误通常表示物理层存在干扰、网线过长或水晶头接触不良。Runts小于最小帧长的帧和Giants超过最大帧长的帧可能和双工不匹配有关。Collisions冲突帧在传统以太网里常见全双工模式下如果出现大量冲突多半是端口被强制成了半双工。有一个坑特别值得说错误计数器是累计的你不一定知道它是什么时候涨起来的。所以排查时一定要先清空计数再等上一段时间观察reset counters interface GigabitEthernet 0/0/1然后等个5到10分钟再回来看。如果清零之后没有新错误说明之前的错误可能是历史遗留或者瞬时干扰如果还在涨就真的要换线、换模块了。光模块排查使用以下命令display transceiver interface GigabitEthernet 0/0/1主要看温度和收发光功率。模块温度过高往往是光模块老化或散热不良的前兆接收光功率过低会导致误码率飙升链路时好时坏。华为设备上如果光功率低于阈值输出里会直接标出告警提示。物理上处理起来也很简单把光纤拔下来用无尘纸蘸酒精轻轻擦拭光纤端面和模块端面重新插回去再测一次很多时候问题就解决了。3.3 第三步日志、告警和丢包测试端口状态和光模块都看了链路看起来还是“健康”的但业务就是有问题这时候需要看设备日志和丢包测试。交换机是局域网的“哑设备”正常情况下不会有什么输出一旦出现关键事件往往就是故障前兆。华三和华为设备上查看日志的命令差不多display logbuffer注意看有没有接口状态反复UP/DOWN的记录。我在现网里遇到过一次特别诡异的问题某个接入交换机的上联口每隔15分钟闪断一次但接口协议恢复得很快普通PING根本测不出来。翻日志才发现是光模块里进了水汽温度一上来就瞬断。这种问题靠PING很难捕获但日志里的事件时间点会非常规律一眼就能看出来。如果怀疑是链路质量导致的间歇性丢包最佳验证手段不是长PING而是持续PING加记录丢包率。Windows下用ping -tLinux下用ping默认持续或者用mtr看整条链路的每一跳丢包情况。当丢包发生在第一跳交换机接口上而后续设备都正常问题基本就锁定在这根网线或这个端口上。4. 三个典型故障场景实战4.1 场景一插上千兆线协商出来只有10兆这是接入层最常被报障的一个问题。用户说“我们明明买的是千兆交换机和千兆网卡为什么电脑显示只有10Mbps”。第一次遇到这个问题的新人往往会去电脑网卡属性里把速度和双工改成1.0 Gbps Full Duplex但这其实是错误做法。正确排查链路协商问题要分三步走。先看交换机侧端口协商结果在华为设备上执行display interface GigabitEthernet 0/0/1看Speed字段。如果显示10再看Negotiation字段。如果显示ENABLE说明交换机侧没有强制问题大概率在线缆或对端网卡。找一根确定正常的成品网线换上去如果协商回到1000M那就是原网线的问题。如果依然是10M再把笔记本直接插到交换机上测试排除用户电脑网卡问题。还要注意一个特例我在新的25GE端口上遇到过几次交换机的25GE口插的是千兆光模块但模块接入后协商不上来速率直接显示10M或者DOWN。这时候需要在接口下手动把速率和双工指定为千兆思科和华为命令略有差异思路是一致的。华为交换机接口下的配置大概是interface 25GE 0/0/1 speed 1000 duplex full undo negotiation auto配置完再用display interface确认协商结果。这里有个陷阱强制了速率之后如果对端设备不支持强制或者网线质量不达标接口可能会直接DOWN或者疯狂报错所以强制命令只是在自协商失效时的备用方案不是首选。4.2 场景二POE摄像头反复掉线海康、大华这类监控摄像头现在大量使用POE交换机供电用户反馈的典型问题是“晚上掉线白天正常”或者“每隔几小时摄像头就掉一次”。很多人第一反应是去查IP地址冲突但实际上POE供电不稳定才是头号嫌疑。排查POE摄像头掉线先看交换机端口上的供电状态。以华为POE交换机为例display poe-power-state interface GigabitEthernet 0/0/1重点关注供电电压和功耗。摄像头的实际功耗会随着红外灯开启而升高晚上红外灯工作功耗可能比白天高好几瓦。如果交换机端口POE供电预算不足或者线缆质量差造成供电衰减就会在某个临界点触发端口重启。这里有一个很容易踩的坑POE交换机总功率是有限的你不能光看单独端口有没有供电能力还要看整台设备的POE预算。查看POE总功率display poe-power注意看Total Power和Used Power。如果整机供电已经接近上限某一台摄像头重新启动时的瞬时浪涌功率会直接把端口供电顶掉。处理方式很粗暴也有效把摄像头转移到另一台POE交换机上或者给功耗最高的几个端口单独用POE供电模块给整机留出余量。另外POE摄像头掉线也可能是网线压接时只做了1236四芯但POE供电却需要用到4578。这种情况下摄像头能通电但通信质量很差画面会频繁卡顿甚至掉线。如果你用网线测试仪测出来是8芯全通才能排除这个因素。4.3 场景三核心能远程到接入交换机但PC就是登不上服务器这个场景来自一个真实的运维留言从核心交换机telnet任何一台接入交换机都正常但从接入交换机的PC去远程登录某台服务器就失败。这类问题最容易让人绕圈子因为“核心能通”会误导你让你觉得网络路径是通的。先说结论核心交换机telnet接入交换机走的是管理 VLAN而PC访问服务器走的是业务VLAN两条路径可能根本不在一个二层域里。你要先确认PC所处的VLAN是不是和服务器在同一VLAN如果在同一VLAN直接看PC的网关和ARP在PC上PING网关如果能通再看PC能否访问同VLAN里的其他设备用排除法缩小范围。如果PC和服务器不在同一VLAN那就涉及三层路由和防火墙策略了。我的排查顺序是先在接入交换机上看PC学到的MAC地址是否正常display mac-address GigabitEthernet 0/0/1确认PC的MAC出现在这个端口上。然后到核心交换机上看PC网段的网关有没有ARP响应display arp | include 192.168.10.100如果ARP学不到问题多半在VLANIF接口或VLAN划分上如果能学到但远程登录依然失败就要检查是否有ACL拦截、远程管理服务是否只允许特定源地址以及PC自己的防火墙有没有挡住入站连接。这里一定要养成一个习惯不要在同一台设备上反复试要在不同层次分别验证——接入层看VLAN核心层看路由终端看网关和ARP这样才能快速缩小范围。5. 常见问题速查与长期手段5.1 端口显示UP但业务不通的隐性原因有一种故障比端口DOWN更难排查端口状态是UP的链路速度也正常但业务就是不通。我在日常维护里总结出几个高频原因按出现概率排序现象常见原因快速验证方法UP但PING网关不通端口PVID或VLAN划分错误display port vlanUP但在MAC表里看不到终端接口被配置成了Trunk且PVID不匹配display interface briefUP但有大量CRC错误双工不匹配或网线质量差reset counters后观察单个端口流量极高出现环路广播风暴被限制在端口内display mac-address看到异常漂移端口UP但光功率过低光纤衰减大、模块脏污display transceiver环路问题值得多说一句。很多环路并不表现为整网瘫痪而是某个端口流量异常偏高因为STP被打开但收敛不彻底。遇到端口流量莫名其妙的跑满我第一反应不是看端口配置而是看MAC地址表有没有地址漂移现象display mac-address如果同一个MAC地址反复在多个接口下出现基本可以判断下联交换机之间有一条环路。处理方式是把下联设备先断开一根线观察端口流量是否降下来然后再去理清正确的拓扑。5.2 厂商命令速查表命令记不住是很正常的事网工不是靠背命令吃饭的。我把自己常用的一套“接口故障排查命令包”贴在下面遇到问题照着敲就行。这套命令在华为和H3C上基本通用锐捷多数也兼容思科略有差异。看全局端口状态display interface brief看单端口详细状态和错误计数display interface GigabitEthernet 0/0/1看光模块信息display transceiver interface GigabitEthernet 0/0/1清空端口计数重新观察reset counters interface GigabitEthernet 0/0/1看接口有没有被配置成镜像或策略display current-configuration interface GigabitEthernet 0/0/1思科设备对应的命令是show interfaces status、show interface GigabitEthernet0/1、show interface transceiver和clear counters命令位置不一样但查询思路完全一样。5.3 让故障“自首”日志服务器与监控接口故障最大的成本在于发现问题和定位问题而不是修问题。你不可能24小时盯着交换机敲命令所以长期维护一定要在网络里部署日志收集和监控告警。日志这块华三和华为交换机都支持把日志实时发送到远端日志服务器配置思路是设置日志主机地址和开启信息中心。以华为交换机为例info-center enable info-center loghost 192.168.100.200配置完成之后所有接口UP/DOWN、光模块异常、POE供电故障这类日志都会实时打到日志服务器上。再配一个简单的告警规则接口状态变为DOWN超过1分钟就触发通知基本能做到故障自首。监控这块现在中小机房的通用做法是SNMP配合Prometheus通过snmp_exporter采集交换机的接口流量、错误计数和光模块状态再用Grafana出图。配置好之后你不需要等用户报障直接看趋势图就能发现某些端口CRC错误在缓慢上涨——这种提前量比事后救火有用得多。如果你的核心机房用的是虚拟化网络架构比如vCenter里的分布式交换机排查思路也可以参考这篇文章先看端口组的状态再看绑定策略和VLAN配置底层物理链路的问题同样会体现在虚拟交换机端口上。最后说一个我自己的小习惯每次处理完一个接口故障我都会把问题现象、根因、处理命令和耗时记到一个简单的文档里。半年以后翻出来看最常见的故障永远是那几种——网线老化、光模块脏污、配置变更没记录。把这些高频问题固化成标准操作手册后续再遇到同类问题就不需要重新踩一遍坑了。