为了实现资源整合，单位在电子政务内网中整合部署了一批网上应用系统，为了确保这些网络应用系统的安全运行，单位不惜重金，使用思科公司的PIX525型号防火墙，对电子政务应用系统访问进行可持续、高稳定的安全“保卫”。然而，在尽情享受防火墙带来的安全保证同时，也要提防该设备“阴沟翻船”，影响整个网络的稳定访问。这不，最近单位偶然遭遇到的一次停电事故，造成电子政务内网中的各个应用系统无法被正常访问，经过深人排查，竟然发现是防火墙在关键时刻“掉链子”。由于对思科防火墙寄予厚望，在排查故障的过程中，没有对其认真检查，结果走了弯路，影响了单位正常工作。为此，本文现在将该故障的详细排查过程还原出来，希望大家能从中收到借鉴和启发！

故障发生前

    最近，单位响应市政府的号召，将分散在政府大楼各个单位的政务应用系统，集中迁移、部署到电子政务内网中，所有应用服务器平台全部摆放到大楼网络中心，形成一个独立的工作子网。政府大楼内的其他单位通过各自楼层交换机，经过思科公司的PIX525型号防火墙，与部署在网络中心中的大楼核心路由交换机相连，从而达到顺利访问各个政务应用系统的目的。平时，大楼内的所有单位，都能正常访问部署在电子政务内网中的各种政务应用平台，访问速度也是十分理想。

    考虑到一些政务应用系统相当重要，在升级、改造电子政务网络的时候，单位网络管理员在选购一些重要网络设备时，都是将设备品牌、质量、运行稳定性等指标优先考虑的，经过反复权衡比较，才最终决定选用思科公司这样大品牌、质量好的防火墙、交换机，来组建大楼电子政务内网的。

    PIX525型号防火墙自投人工作以来，它的表现还是与它的大品牌相符的，不但工作性能很稳定，能够抵御住各种突发大流量的冲击，而且这么长时间以来，片刻没有关机休息过。除了在刚组网的那段时间，对防火墙进行配置重启过几次，后来就对其一直不闻不问，它也很争气，从来没有出现过什么差错，对于这样难得的表现，单位几个网络管理员对其曾经是赞不绝口。然而，好景不长，单位难得一遇的停电事故后，其他单位的用户不能正常访问大楼网络中心的政务应用系统了。

   突然停电后

    在突然停电事故发生后，网络管理员立即联系电力部门工作人员，对故障电力线路进行了排查和抢修。当大楼恢复正常供电时，网络管理员第一时间检查了各个政务应用系统，发现它们的工作状态都已恢复了正常，按理来说，电子政务内网的访问也应该不成问题。可是，没有多长时间，网管员办公室中的电话象炸开了锅一样，连续响个不停，其他单位用户不断来电反映电子政务内网不能正常访问。随意登录一台故障计算机系统，尝试访问某个电子政务应用平台，发现电子政务内网果然存在问题。

    由于各个政务应用系统平台的工作状态已经确认恢复正常，我们下意识认为问题不在大楼网络中心，而应该出在部分楼层交换机上。于是，登录到某个楼层交换机后台系统，查看各个端口工作状态和流量信息，发现没有什么可疑之处。在其中一个交换端口视图模式状态下，使用ping命令测试PIX525型号防火墙的IP地址时，看到防火墙连通性不正常。继续换了一个交换端口，对防火墙连通性进行重复ping命令测试，结果还是不成功。后来，怀疑对应楼层交换机存在问题，于是我们又不厌其烦地赶到另外一个楼层交换机现场，按照同样的方法，从交换端口测试大楼网络中心的防火墙IP地址，结果各种测试操作均以失败而告终。

    难道真的是防火墙有问题？到了现在，我们还不敢面对现实，于是尝试从大楼网络中心内部，使用ping命令测试相关政务平台的IP地址时，发现可以正常ping通（如图1所示），但是测试PIX525型号防火墙的连通性时，看到返回的结果竟然为不可到达，看来真的是防火墙设备出了什么意外。

    为了弄清楚事实真相，我们火速赶到防火墙现场，通过Console控制线缆，将笔记本电脑直接连接到防火墙的控制端口上，开启笔记本中的超级终端程序，观察防火墙设备的工作状态，发现该设备在没有启动成功的情况下就停止运行了，不管怎么敲击回车键，防火墙后台系统气点反应也没有。没有办法，只好断开防火墙电源，过一段时间后，再次接通电源，观察该设备的启动状态，这次仍然是启动到一半就停止运行孔PIX525型号防火墙可是电子政务内网的重要枢纽呀，它工作不正常，那么整个电子政务内网就彻底熄火了呀。

[1] [2]  下一页