公司整个网络的核心是总部一台Cisco 7系列的路由器，上面有6条到各个不同地点办公室的DDN专线。其中一个部门（以下简称A部门）需要和总部进行实时通信。考虑到其重要性，在搭建网络的时候，我们申请了两条DDN的专线，分别是网通和联通的线路，平时上面传送不同的数据流，当其中任意一条专线出现故障的时候，另外一条专线马上就可以承担所有的任务。A部门的所有机器都是采用DHCP的方式获得IP地址。
网络时通时断
一天早上刚上班，就接到A部门的IT人员打来的电话，说网络出现问题。ping A部门所在网络网关的IP地址和ping任何总部的服务器的IP地址时，总是时断时续，导致A部门的所有客户端访问总部时断时续，可是他们内部机器互相ping却很正常。于是我们开始排查故障。
A部门用的是一个华为2621的路由器和总部的Cisco 路由器连接，上面有两个局域网端口E0 和 E1，现在使用的只是E0一个端口，下面接的6个低端Dlink 24口交换机做集连。
首先检查网络是否出现风暴或网络回环。打开Sniffer软件监控A部门所在网络，看是不是出现流量异常的现象，监控两个小时后发现流量很正常。
接着考虑是不是由于6个Dlink交换机做的集连导致网络冲突增多，但是低端Dlink交换机没有任何管理功能，无法查看日志。想到这里我们马上把和华为路由器相连接的那个Dlink的交换机换成了Cisco的35系列的交换机，然后继续监控，发现故障依旧。是不是因为华为路由器出现了故障？于是又替换了一台相同型号的华为路由器，结果问题还是没有解决。
网段一分为二细排查
接下来抱着试一试的想法，我们提议把A部门所在的网络由原来的一个网段划分成两个网段（网段1和网段2），分别接到华为路由器的E0 和 E1 端口上，看看效果如何。于是在对华为路由器的配置做了一些更改后，把A部门所在的网络分成了两个网段，监控了一段时间后发现网段1的所有客户端访问总部一切正常，网段2访问总部的现象和以前一样，时断时续。看样子问题就出在了网段2上的机器身上。
这个时候有网段2客户端的用户反映，如果把网卡禁用后再启用，网络一下子就正常了，但过10分钟又无法ping通，就这样周而复始。
原来是病毒在做怪
我们知道，网卡禁用再启用的过程，就是一个Arp的学习过程，这此期间，它会发出一个Arp的请求，询问谁是这个网段的网关，然后得到这个网关的MAC地址，然后当它需要去访问不同网段机器的时候，就会把数据包丢给那个网关。想到这里，是不是网段2内的客户端机器中了某种病毒导致它可以模仿了真实的网关的地址，使网络2内的客户端在访问其他网段的机器时候都把数据包发给了这个模仿真实网关的机器，从而导致这种故障的产生？
马上找了一台网络2的客户端用arp -a命令去查看这台机器默认的网关的MAC地址，发现当网络正常时显示的默认网关的MAC地址是正确的，当故障出现时默认网关的MAC地址突然变了。马上记下当出现故障的时显示的那个网关的MAC地址，然后在DHCP服务器上根据这个MAC地址查到了是哪个机器在搞鬼，拔掉该机器的网线后，网络恢复正常。
总结
通过对这个网络的故障分析，我们总结出以下几点：首先是当网络出现故障的时候，一定要多到客户端了解情况，最好能通过用户对故障的描述抓住网络故障的实质。其次，当出现奇怪的网络现象时，可以分析是否是用户端的机器中了病毒导致这种现象发生，并不一定是网络设备的问题。
随着硬件设备性能的不断提高，软件系统越来越庞大复杂，因软件原因造成的网络故障也越来越多。本文从几例由软件造成的网络故障入手，分析这类故障的特征和原因，并介绍解决问题的思路。
