IP地址、子网掩码、网关、DNS：网络排障必懂的基础知识

在网络工程或数通认证的学习里最先接触到、也最容易混淆的一组概念就是 IP 地址、子网掩码、网关和 DNS。很多人的理解停留在“配静态 IP 时这几个参数要填对否则上不了网”可一旦设备不通、跨网段访问失败、域名解析报错就说不清是哪一层出了问题。下面把四个参数放进同一条数据转发链路里讲从 PC 发起访问开始IP 负责主机寻址子网掩码判断目标在不在本地网段网关成为跨网段出口DNS 在第一步把域名转成 IP。随后用一台路由器、一台交换机和两台 PC 组成最小实验拓扑把理论变成命令配置再做多厂商命令对比和故障定位。这类内容并不只是应付华为 HCIA、思科 CCNA 或 H3C 认证而是日常网络排障中反复要用到的基本功。无论以后做企业网运维、数据中心网络还是云下机房管理遇到“电脑上不了网”“服务器跨网段不通”“域名解析失败”最终都要回到这四个参数组成的判断链路上来。1. 先弄清楚四个参数在一条数据链路里的分工1.1 一个常见场景输入域名回车后发生了什么在浏览器里输入www.example.com并回车数据包要到达目标服务器需要经过以下处理顺序操作系统先判断这个域名对应的 IP 地址是什么。这一步由 DNS 完成。拿到目标 IP 后本机要把自己的 IP 地址和子网掩码做一次与运算得到本机所在网络地址。再用同样的方法计算目标 IP 所在网络地址。如果两个网络地址相同说明目标主机在本网段直接查 ARP 表找目标 MAC 地址即可通信。如果两个网络地址不同说明目标主机在其它网段本机必须把数据帧发送给网关。网关收到数据帧后根据路由表选择下一跳最后把数据转发到目标网络。这个过程中四个参数各自负责一个环节。IP 地址负责“我是谁、目标是谁”子网掩码负责“哪些主机和我属于同一个局域网”网关负责“出了本网段后先找谁”DNS 负责“把人类可读的域名翻译成机器可用的 IP 地址”。1.2 四个参数的分工表参数通俗解释技术作用配置位置IP 地址网络中的门牌号确定主机的三层地址PC 网卡、路由器接口、服务器网卡子网掩码门牌号里的区域划分规则区分网络位和主机位决定同网段范围与 IP 成对配置网关出小区的必经大门跨网段数据转发的默认下一跳PC 默认网关、路由器默认路由DNS电话簿把域名解析为 IP 地址PC 网卡、DHCP 下发、DNS 客户端配置很多人把这四个参数当成“填表项”而没有理解它们之间的依赖关系。实际上只要主机不是独立组网这四个参数就必须配合起来才能完成一次正常访问。1.3 容易误解的地方有一个常见误解网关和 IP 地址属于同一个网段就一定没问题。这句话只对了一半。如果 PC 的网关写成了同网段内另一台普通主机的 IPPC 会把数据帧发给那台主机但那台主机没有开启路由转发收到的数据包只会被丢弃或由操作系统直接回送拒绝结果仍然是跨网段不通。另一个误解是DNS 只影响“打开网页”。实际上只要应用使用域名访问DNS 解析失败都会导致连接失败。即便网络层完全正常ping www.example.com也不一定成功因为 ping 命令在发包前也要先解析域名。2. IP 地址网络位与主机位决定主机如何被定位2.1 IPv4 的二进制与点分十进制IPv4 地址是一个 32 位二进制数为了方便阅读每 8 位分一组转换为十进制后用点分隔比如192.168.1.10。它的二进制形式是11000000.10101000.00000001.00001010前一部分是网络位后一部分是主机位。网络位决定主机属于哪个网络区域主机位决定这个区域里的具体哪台设备。同一个网段内所有主机必须使用相同的网络位主机位必须互不相同。判断主机位是不是相同不能只看 IP 地址长得像不像。192.168.1.10和192.168.2.10看起来很接近但网络位很可能不同它们属于不同网段。必须结合子网掩码才能确定。2.2 地址分类、私有地址和环回地址传统 IPv4 地址分为 A、B、C、D、E 五类不过现网已经普遍使用 CIDR严格按 A/B/C 类配置的情况越来越少。分类概念仍然要理解因为很多认证教材、老设备的地址规划说明还会出现这些表述。地址类别第一字节范围默认子网掩码典型用途A 类1.0.0.0 - 126.255.255.255255.0.0.0大型网络可用主机数非常多B 类128.0.0.0 - 191.255.255.255255.255.0.0中大型网络C 类192.0.0.0 - 223.255.255.255255.255.255.0小型局域网D 类224.0.0.0 - 239.255.255.255无组播地址E 类240.0.0.0 - 255.255.255.255无保留地址私有地址是内网使用的地址不能在公网直接路由。常见私有地址段如下网段掩码范围10.0.0.0/8255.0.0.010.0.0.0 - 10.255.255.255172.16.0.0/12255.240.0.0172.16.0.0 - 172.31.255.255192.168.0.0/16255.255.0.0192.168.0.0 - 192.168.255.255除此之外127.0.0.0/8是环回地址127.0.0.1代表本机。DHCP 无法获取地址时Windows 主机通常会得到一个169.254.x.x的自动专用地址看到这个地址基本可以判断是 DHCP 协商失败。2.3 配置 IP 时最容易踩的坑第一个坑是把网络地址或广播地址配到主机上。比如192.168.1.0/24是网络地址192.168.1.255/24是广播地址它们都不能作为主机的可用 IP 地址。配置后会引起地址冲突或通信异常。第二个坑是两台主机用了相同 IP。同一网段内 IP 必须唯一否则交换机会出现地址冲突告警其中一台或两台主机的网络通信都会时断时续。第三个坑是不考虑地址规划随意分配。比如把所有网段都写成/24导致一个大楼或一个机柜需要大量网段或者把网关、服务器、打印机全混在一个段里后期排障和管理都会变得困难。3. 子网掩码本地通信边界到底划在哪里3.1 掩码怎么做到“同网段”判断子网掩码是一串连续的 1 后面跟着一串 0。掩码中 1 对应网络位0 对应主机位。实际上IP 地址与子网掩码做按位与运算结果就是网络地址。例如IP: 192.168.1.10 - 11000000.10101000.00000001.00001010 掩码: 255.255.255.0 - 11111111.11111111.11111111.00000000 结果: 192.168.1.0 - 11000000.10101000.00000001.00000000结果是192.168.1.0这就是网络地址。如果把192.168.1.20/24也做同样的计算结果同样是192.168.1.0因此两台主机属于同一个网段。/24是 CIDR 写法等价于255.255.255.0。常见的对应关系如下CIDR 前缀子网掩码可用主机数/8255.0.0.016777214/16255.255.0.065534/24255.255.255.0254/25255.255.255.128126/26255.255.255.19262/27255.255.255.22430/30255.255.255.2522可用主机数要减掉网络地址和广播地址两个所以/24是 256 减 2等于 254。3.2 网络地址、广播地址和主机范围计算以192.168.10.5/26为例掩码255.255.255.192的块大小是 256 减 192等于 64。因此每 64 个地址为一个子网子网网络地址广播地址可用主机范围第一个子网192.168.10.0192.168.10.63192.168.10.1 - 192.168.10.62第二个子网192.168.10.64192.168.10.127192.168.10.65 - 192.168.10.126第三个子网192.168.10.128192.168.10.191192.168.10.129 - 192.168.10.190第四个子网192.168.10.192192.168.10.255192.168.10.193 - 192.168.10.254计算时先根据掩码确定块大小再找到 IP 落在哪个块里块的开头是网络地址块末尾是广播地址中间地址就是可用主机地址。3.3 掩码不一致的故障表现如果两台主机处于同一个交换机下但掩码配置不一致会出现一种很奇怪的故障。例如 PC1 是192.168.1.10/24PC2 是192.168.1.20/25。PC1 认为192.168.1.20和自己同网段于是直接发送 ARP 请求PC2 用/25计算后认为192.168.1.10不在自己的网段内它不会直接回 ARP而是把数据包发给自己的网关。如果 PC2 没有配置网关PC2 甚至不会回包于是出现“PC1 ping 不通 PC2但 PC2 却能访问其它某些主机”的现象。排障时可以记住一个原则同一 VLAN 或同一广播域内的主机子网掩码必须一致否则 IP 地址虽然在同一个网段范围内主机之间却会按照不同的规则判断通信边界。3.4 CIDR 与 VLSM 的实际意义CIDR 打破了传统的 A/B/C 类边界让网络位长度可以任意选择于是有了/25、/26、/30这类前缀。VLSM 是可变长子网掩码允许把一个大网段划分成多个大小不同的子网减少地址浪费。比如一个部门有 100 台主机给它分配192.168.10.0/25可用主机 126 个另一个部门只有 20 台主机分配192.168.11.0/27可用主机 30 个。这样比统一使用/24更节省地址也更容易在路由汇总时合并网段。生产环境做地址规划时不要只背公式要结合部门规模、设备类型、未来扩容空间综合设计。4. 网关从本网段走向其他网段的默认出口4.1 网关不是玄学是路由器接口地址网关的本质是三层设备上某个接口的 IP 地址。这个三层设备可以是路由器、三层交换机、防火墙也可以是云环境里的虚拟网关。PC 的默认网关其实是一条默认路由表示“目标地址不归我管、我又没有更精确路由时就交给这个地址处理”。配置网关时要保证两点网关 IP 与主机 IP 必须在同一个网段内。网关 IP 必须真实存在于某台三层设备接口上并且该设备开启了路由转发。如果网关写成同网段内不存在的主机地址数据包到达交换机后找不到对应的 MAC 地址就会因为 ARP 解析失败而丢失表现为主机 ping 不通外部地址。4.2 网关如何介入 ARP 转发过程当 PC 要访问一个不同网段的 IP 时它并不会直接去解析目标主机的 MAC 地址而是解析网关的 MAC 地址。数据帧的目的 MAC 填网关 MAC目的 IP 填目标主机 IP。网关收到数据帧后再根据路由表重新封装数据帧转发给下一跳设备。因此在 PC 的 ARP 表里通常会看到网关 IP 对应的 MAC 地址而不是目标服务器的 MAC 地址。查看命令如下arp -a输出类似接口: 192.168.1.10 --- 0x5 互联网地址 物理地址 类型 192.168.1.1 00-0c-29-xx-xx-xx 动态如果找不到192.168.1.1对应的条目说明网关 ARP 解析失败可能的原因是网关 IP 配置错误、网关设备未开启该接口、交换机端口不在对应 VLAN或者网线/光纤链路有问题。4.3 网关配置错的典型现象现象原因处理方向能 ping 通同网段不能跨网段默认网关缺失或错误检查ipconfig的默认网关和路由表ping 网关不通网关 IP 不对、VLAN 隔离、链路故障查看 ARP 表、交换机端口状态能 ping 通网关但 ping 不通另一个网段主机路由器没有回程路由或访问控制在路由器上确认直连路由和静态路由网关 IP 与其它设备冲突手动配置和 DHCP 地址池冲突检查 DHCP 排除地址、整理地址台账三层设备上同样要有默认路由。例如企业出口路由器需要访问互联网通常会写一条默认路由指向运营商接入设备。没有这条路由时内网 PC 可以访问外网某些地址但回包流量无法回来整体表现为不通。5. DNS访问域名时第一道查询5.1 DNS 是电话簿DNS 解决的问题很直接用户记不住 IP 地址但机器只认 IP 地址。DNS 把域名映射成 IP主机在发起连接前先向配置的 DNS 服务器发起解析请求。每台主机上可以配置一个或多个 DNS 服务器。DHCP 环境下DNS 服务器地址通常由 DHCP 服务器自动下发静态 IP 环境下需要手动填写 DNS 地址。如果 DNS 配置错误会出现“能 ping 通 IP但打开不了网页”的典型现象。5.2 一次递归解析过程以访问www.example.com为例完整过程大致如下操作系统先检查本地 hosts 文件和 DNS 缓存。如果本地没有结果请求会发送给 PC 配置的本地 DNS 服务器通常是运营商 DNS 或公共 DNS。本地 DNS 服务器发现不知道该域名就向根域名服务器查询.com的权威服务器地址。本地 DNS 服务器再向.com权威服务器查询example.com的权威服务器地址。随后向example.com的权威服务器查询www对应的 IP 地址。本地 DNS 服务器得到结果后返回给 PC并在本地缓存一段时间。在 Linux 或 Windows 主机上可以用nslookup或dig查看解析结果nslookup www.example.com输出类似服务器: dns.example.local Address: 192.168.2.100 非权威应答: 名称: www.example.com Address: 93.184.216.34这个过程并不需要用户干预但理解它有助于排障。比如解析结果停留在旧 IP通常和 TTL 缓存有关解析超时则要考虑 DNS 服务器本身不可达或上游链路故障。5.3 公共 DNS 和运营商 DNS 怎么选国内常用的公共 DNS 包括DNS 服务器IP 地址备注阿里公共 DNS223.5.5.5 / 223.6.6.6国内线路普遍较好腾讯 DNSPod119.29.29.29 / 119.28.28.28国内解析较快114 DNS114.114.114.114老牌公共 DNS运营商 DNS由运营商下发通常自动获取内网解析全面有人关心8.8.8.8这类国外公共 DNS 能不能用。从技术角度看8.8.8.8是公开可用且链路可信的解析服务不是病毒也不是木马服务器但从网络实际效果看国内部分地区访问8.8.8.8的链路延迟可能偏高甚至在某些网络环境下不可达。企业内网还有内部域名和隔离要求直接使用公共 DNS 可能解析不到内网资源也可能让 DNS 查询流量绕到外网增加延迟和隐私暴露面。更合理的做法是普通家庭环境优先用运营商 DNS 或国内公共 DNS企业环境用自建 DNS并把上游指向运营商 DNS 或可信公共 DNS。5.4 Linux 下修改 DNS 后重启失效的解决方式很多人在 CentOS 或 openEuler 这类 Linux 系统里直接修改/etc/resolv.conf重启网络后发现 DNS 被还原原因通常是 NetworkManager 接管了网络连接并在连接激活时重写该文件。正确做法是通过网络连接配置修改 DNS。以 NetworkManager 为例nmcli connection show nmcli connection modify ens160 ipv4.dns 223.5.5.5 119.29.29.29 nmcli connection modify ens160 ipv4.ignore-auto-dns yes nmcli connection up ens160修改后确认cat /etc/resolv.conf如果仍然被还原可以确认系统是否使用了 systemd-resolved并根据系统版本选择resolvectl或nmcli进行操作。不要在生产服务器上直接删除 NetworkManager否则可能影响网络管理和其它服务。6. 最小实验用一台路由器打通两个网段并验证 DNS6.1 实验拓扑和 IP 规划为了把理论变成可验证的实验可以在一台路由器下连接两个网段。实验环境可以使用华为 eNSP、H3C Cloud Lab、Cisco Packet Tracer 或 GNS3。下面以华为 eNSP 命令为主同时给出思科差异。拓扑逻辑如下PC1 192.168.1.10/24 | SW1 | R1 GE0/0/0 192.168.1.1/24 R1 GE0/0/1 192.168.2.1/24 | SW2 | PC2 192.168.2.10/24 DNS/Web 服务器 192.168.2.100/24IP 规划如下设备接口IP 地址掩码网关PC1网卡192.168.1.10255.255.255.0192.168.1.1R1GE0/0/0192.168.1.1255.255.255.0无需配置R1GE0/0/1192.168.2.1255.255.255.0无需配置PC2网卡192.168.2.10255.255.255.0192.168.2.1DNS/Web 服务器网卡192.168.2.100255.255.255.0192.168.2.16.2 路由器接口 IP 配置在华为设备上配置 R1system-view sysname R1 interface GigabitEthernet0/0/0 ip address 192.168.1.1 255.255.255.0 quit interface GigabitEthernet0/0/1 ip address 192.168.2.1 255.255.255.0 quit查看接口状态和 IPdisplay ip interface brief预期结果Interface IP Address/Mask Physical Protocol GigabitEthernet0/0/0 192.168.1.1/24 up up GigabitEthernet0/0/1 192.168.2.1/24 up up由于 R1 两个接口都配置了 IP它会自动生成两条直连路由因此不需要额外的静态路由PC1 和 PC2 就能通过 R1 互相访问。6.3 PC 端静态 IP、网关、DNS 配置在 Windows 上手动配置 PC1在“网络和 Internet 设置 - 更改适配器选项 - 以太网 - 属性 - IPv4”中填写IP 地址192.168.1.10子网掩码255.255.255.0默认网关192.168.1.1首选 DNS 服务器192.168.2.100使用命令行配置可以使用netshnetsh interface ip set address name以太网 static 192.168.1.10 255.255.255.0 192.168.1.1 netsh interface ip set dns name以太网 static 192.168.2.100在 Linux 主机上使用 NetworkManager 配置nmcli connection modify ens160 ipv4.addresses 192.168.1.10/24 nmcli connection modify ens160 ipv4.gateway 192.168.1.1 nmcli connection modify ens160 ipv4.dns 192.168.2.100 nmcli connection modify ens160 ipv4.method manual nmcli connection up ens160配置后用ip addr和ip route验证。6.4 验证命令与预期结果先验证链路层和网络层ping 192.168.1.1 ping 192.168.2.1 ping 192.168.2.10第一个 ping 测试本网段网关第二个 ping 测试跨网段访问路由器另一侧接口第三个 ping 测试完整的跨网段三层转发。如果第三步 ping 不通要检查 PC1 的网关、R1 的接口状态、PC2 的 IP 和网关。验证 DNS 解析nslookup www.example.com 192.168.2.100如果实验环境中没有真实 DNS 服务器也可以使用 Windows 的 hosts 文件做简单验证。企业真实环境下最好部署内网 DNS 服务器并用dig查看解析过程dig 192.168.2.100 www.example.com使用tracert查看路径tracert -d 192.168.2.10路径应该显示经过192.168.1.1说明网关和路由链路工作正常。7. 多厂商命令差异华为、H3C、思科对照7.1 接口地址与路由配置多数网络工程师在工作中不会只接触一家厂商设备。下面用表格整理华为、H3C、思科在基础配置上的差异方便对照记忆。操作华为H3C思科进入系统视图system-viewsystem-viewconfigure terminal进入接口interface GigabitEthernet0/0/0interface GigabitEthernet1/0/1interface GigabitEthernet0/0配置接口 IPip address 192.168.1.1 255.255.255.0ip address 192.168.1.1 255.255.255.0ip address 192.168.1.1 255.255.255.0配置默认路由ip route-static 0.0.0.0 0.0.0.0 192.168.2.1ip route-static 0.0.0.0 0.0.0.0 192.168.2.1ip route 0.0.0.0 0.0.0.0 192.168.2.1查看接口信息display ip interface briefdisplay ip interface briefshow ip interface brief查看路由表display ip routing-tabledisplay ip routing-tableshow ip route保存配置savesavewrite或copy running-config startup-config以默认路由为例华为和 H3C 的写法是ip route-static 0.0.0.0 0.0.0.0 192.168.2.1思科的写法是ip route 0.0.0.0 0.0.0.0 192.168.2.1两者都表示“当路由表中没有更精确的条目时把数据包发给 192.168.2.1”。7.2 查看命令与保存命令排障时第一件事是确认接口是否 up。华为和 H3C 使用display思科使用show。display ip interface briefshow ip interface brief配置完成后华为和 H3C 使用save思科使用write。模拟器实验里很多人在关闭设备后忘记保存导致配置丢失。养成配置完成后立即保存的习惯。7.3 跨厂商实验的基本思路多厂商设备互联重点不是背命令而是理解协议和地址规划是标准化的。只要子网掩码、网关、路由协议一致华为设备可以和思科设备互通H3C 设备也可以和华为设备互通。实验时可以先画一张地址规划表确定每台设备接口 IP、VLAN、路由协议再按厂商命令逐台配置。8. 网络不通时按什么顺序排查8.1 用分层判断缩小范围遇到“上不了网”时不要凭感觉去改配置按下面顺序逐层排查查看网卡是否获取到合法 IP避免出现169.254.x.x。确认掩码和网关是否与规划一致。ping 本机 IP验证协议栈是否正常。ping 网关验证本网段链路和 ARP 是否正常。ping 外网 IP验证三层路由是否正常。nslookup 域名验证 DNS 解析是否正常。如果前面全部正常再访问业务判断是否是服务器端问题。这个顺序的要点是把问题范围从“物理链路 - 网卡配置 - 路由 - DNS - 应用”逐步缩小。8.2 常见现象与处理方案表现象常见原因检查命令处理建议电脑显示没有网络DHCP 未获取到地址出现 169.254.x.xipconfig /all检查 DHCP 服务、网线、交换机接口能 ping 通同网段不能访问外网网关配置错误或路由器缺少默认路由ipconfig、route print、ping 网关修正网关地址检查路由器路由表能 ping 通外网 IP但打不开网页DNS 配置错误或 DNS 服务器不可达nslookup、ping DNS服务器IP修改 DNS 地址测试公共 DNSping 网关超时接口 down、VLAN 不对、IP 冲突arp -a、display interface检查线路、VLAN、接口状态、网关设备配置网关能 ping 通跨网段不通路由器没有回程路由或访问控制tracert -d、display ip routing-table确认源和目的路径上的路由表Linux 修改 DNS 后重启被还原NetworkManager 或 systemd-resolved 接管nmcli connection show使用 nmcli 或 resolvectl 配置虚拟机上 ping 不通网关虚拟网卡网段与宿主机网络不匹配查看虚拟网络编辑器或桥接模式配置确认虚拟机网卡模式、IP 和掩码8.3 两个排查案例案例一一台 Windows 主机能 ping 通自己也能 ping 通同网段 PC但 ping 不通网关。检查ipconfig /all后发现网关被写成了 192.168.1.254而实际路由器接口地址是 192.168.1.1。网关地址写成了不存在的地址ARP 请求永远得不到回应。处理方式是把网关改为 192.168.1.1再执行arp -d清空 ARP 缓存问题解决。这个案例说明网关不是随便填一个同网段地址就能用的必须对应真实存在的三层接口。案例二主机能 ping 通 223.5.5.5但访问域名全部失败。使用nslookup www.example.com结果显示 DNS 请求超时。检查网卡设置发现首选 DNS 写成了 192.168.2.100但该地址在内网中并不存在。把 DNS 改为内网真实 DNS 服务器或 223.5.5.5 后恢复。8.4 可直接复制到工单里的检查清单以下检查清单可以用于日常工作也可以直接放到排障工单中[ ] 网卡是否显示“已连接”CPU 和驱动是否正常[ ] IP 地址是否以 169.254 开头[ ] IP、掩码、网关、DNS 是否与规划一致[ ]ping 127.0.0.1是否通[ ]ping 本机IP是否通[ ]ping 网关是否通[ ]ping 外部IP是否通[ ]nslookup 域名是否正常[ ] 路由器接口状态是否为 up[ ] 路由器路由表是否有对应路由[ ] 防火墙和网络安全组是否放行目标端口[ ] 服务器端服务是否正常启动9. 从实验到生产地址规划与认证学习建议9.1 学习环境与生产环境的关键差异模拟器和物理环境能跑通实验不代表生产环境可以直接照搬。学习环境只关心“配置后是否通”生产环境还要考虑账号权限、日志、备份、回滚、监控和安全策略。生产环境配置静态 IP 时要额外注意先确认当前地址池是否已被 DHCP 占用避免冲突。先备份设备配置和网卡配置再执行修改。远程配置网络设备时不要随便改管理接口 IP否则可能断开连接。配置完成后记录变更时间、变更人、原地址、新地址、验证结果。使用密码、SSH、权限分级管理设备不直接使用默认账号配置。9.2 企业网地址规划基本建议企业网络做 IP 规划时建议先明确层级和设备类型再按区域分配地址段。例如用途网段示例掩码说明办公终端192.168.10.0/24255.255.255.0员工 PC、打印机服务器区192.168.20.0/24255.255.255.0业务服务器、数据库网络设备管理192.168.30.0/24255.255.255.0交换机、路由器管理地址无线网络192.168.40.0/24255.255.255.0Wi-Fi 用户终端规模更大时要使用 VLAN 隔离广播域每个 VLAN 单独规划一个子网再通过三层交换机或路由器做 VLAN 间路由。不要把设备管理、终端、服务器全部放在同一个/24网段里否则广播风暴、安全策略和故障排查都会变得很困难。9.3 面向多厂商认证的练习顺序如果目标是考华为 HCIA、H3C 认证或思科 CCNA建议按以下顺序练习先在纸上画出一个小型拓扑规划 IP、掩码、网关、VLAN 和路由协议。在模拟器里完成两台 PC 互通。增加路由器验证跨网段通信。增加 DHCP 和 DNS验证地址自动获取和域名解析。练习查看命令理解路由表、ARP 表、接口状态的含义。故意写错 IP、掩码、网关、DNS观察故障现象并记录排查过程。把华为、H3C、思科的命令差异整理成表格反复对照。这组练习的价值不只是熟悉命令而是培养一种判断习惯看到一个问题先确定它属于物理层、二层、三层还是 DNS 层再决定下一步操作。最终目标是像条件反射一样把“IP、掩码、网关、DNS”这四个参数在故障场景中完整串联起来。在实际项目中真正危险的往往不是概念陌生而是配置随意、验证不全、变更无记录。每次配置完成后至少做一遍完整的连通性验证包括同网段、跨网段、DNS 解析和业务端口。这样形成固定动作之后网络排障就不再是碰运气。