网络故障排查顺序怎么定？从整层楼到单台电脑，我按这个走

摘要：网络一出故障，最费时间的不是修不好，是来回试。我们这边攒了个固定顺序：先问是一个人还是一群人，再分是"不通"还是"慢"，然后才去查链路、端口，最后才动设备。这篇把这个顺序和两个踩过的坑写清楚，照着走能少绕不少路。

信息科接到的电话，十有八九就一句话：「网又不行了」。

「不行」这两个字什么情况都能套：打不开网页、打不开业务系统、能打开但是一直转圈、时好时坏。它等于什么都没说。你要是顺着这句话直接上手，很容易从最不该查的地方开始查。

我这边现在固定按下面这个顺序走，一年下来基本没乱过。

第一步：先分清「一个人不行」还是「一群人不行」

这一步不用任何工具，问一句就够：隔壁那台电脑行不行？

• 隔壁也不行 → 问题在整片：交换机、上联、或者有人动了什么
• 隔壁行、就这一台不行 → 问题在这台机器自己：网线、IP、系统、软件

听着像废话，但这一步能砍掉后面一半的弯路。

我们楼里出过一次整层上不了网。第一反应都是交换机坏了，抱着笔记本下机房查了半天，交换机灯全是正常的。最后查到是有人在弱电箱里插了个自己带的路由器，它的 DHCP 地址池把地址发出去了，整层的电脑都拿到了错的网关。

这个故障最坑的地方在于：现象和"上联断了"一模一样。如果只盯着一台电脑查，查一晚上也查不出来。

第二步：分清「不通」和「慢」

这两种查法完全不一样，别混着来。

最容易绕远的是中间那种。很多人 ping 一下通了，心里就认定"网络没问题"，转头去查软件、查数据库，查半天又绕回来。

原因很简单：ping 走的是 ICMP，业务走的是端口，这是两条路。服务器上某条端口被防火墙拦了，ping 照样通。

我们叫号系统连不上服务器那次就是这样——ping 得通、远程也进得去，最后发现是服务器上系统自带的防火墙把端口挡了。如果一开始就分清"ping 通"和"业务通"不是一回事，能省两小时。

第三步：要定位到"哪一跳"，别一台台 ping

如果是「慢」或者「时通时不通」，一台台 ping 是最笨的办法。这种时候用 pathping：

pathping 192.168.1.1

（地址换成你要查的目标，比如网关或者业务服务器——上面这个只是示例。）

它前半段跟 tracert 一样，把沿途经过的每一跳列出来；后半段会往每一跳反复发包，最后给你一张表，直接告诉你哪一跳开始丢包、丢了多少。

这一步的价值在于：能把「网络慢」这种模糊的感觉，变成「第 5 跳丢了 30%」这种能拿去说话的东西。是运营商线路的事，还是自己内部设备的事，一张表就分清了。

注意它跑得慢，默认每跳要测几十次，一个地址几分钟很正常，别以为卡死了。

第四步：确认是"哪一层"之后，才动设备

顺序反过来是最容易出事的：一上来就重启交换机。

重启交换机在"整层不通"的时候确实常有用，但它有两个代价——一是全楼断一次网，二是重启完现象没了，根因还在，过几天照样复发。

我的做法是：先把范围压到最小，确认问题出在链路、端口还是设备，再决定动谁。真要重启，也先确认是不是可以断的时段。

两个我踩过的坑

坑一：全层断网先怪交换机。 实际是私接的路由器抢了地址。判断方法其实很快：拿一台电脑看拿到的网关，是不是咱们自己的网关。不是，基本就定了。

坑二：ping 通就当网络没事。 后面所有排查都建在这个错误前提上，越查越远。现在我第一步就问自己：通的是哪一层？

常见问法

Q：ping 网关通、ping 外网不通，查哪？
先看网关能不能出去：tracert 8.8.8.8 看断在第几跳。第 1 跳就断＝本机或网关配置；中间断＝上联或线路。

Q：只知道某一层楼不通，从哪儿下手？
先去弱电箱看有没有多出来的设备（路由器、随身 WiFi、交换机串联），再看这一层的交换机上联口。整层同时出问题，九成是这一层共用的东西被动过。

Q：重启交换机有用吗？
有用，但它是"先恢复再找原因"，不是修好。重启后现象消失不等于问题解决，最好当天回去看一眼日志和地址池。

Q：怎么快速确认是不是自己这台机器的问题？
换一台电脑插同一根网线。换了就好＝机器的事；换了还不行＝线路或上游的事。这一步 30 秒，能省很多争论。

网络排查这件事，难的不是命令，是顺序。顺序对了，大部分问题在第二步就能定性；顺序错了，工具再熟也是在原地打转。

作者：老刘说医信，医院信息科运维。