专线不通怎么分层排查
专线故障牵涉运营商、云平台和自建机房三方，上来就改路由是最常见的错误起点。有效的方法是分层并先界定故障段落：物理层看端口状态与光路告警，链路层看 VLAN 与互联地址是否两端对齐，网络层看 BGP 邻居与路由条目，安全层看 VPC 路由、安全组与防火墙。段落定了，责任方也就定了，才不会反复改配置却始终抓不到根因。
基本信息
| 物理层 | 专线与端口状态、光路告警，问题通常归运营商处理 |
|---|---|
| 链路层 | 两端 VLAN、互联地址与掩码必须严格对齐 |
| 网络层 | BGP 邻居状态、是否学到预期网段、下一跳是否正确 |
| 安全层 | VPC 路由表条目、安全组、对端防火墙与 ACL |
| 界定手段 | 用两端互联地址互 ping，先把范围切到云侧或本地侧 |
| 证据要件 | 时间点、告警截图、探测结果、变更记录 |
典型使用场景
- 专线刚交付但业务不通，需要判断是配置问题还是线路问题
- 业务突然中断，确认是否发生过变更或割接
- BGP 邻居建立但学不到路由，需要定位在哪一侧被过滤
- 需要向运营商开工单，先自行准备好证据与结论
- 多线环境下的部分不通，判断是选路问题而非链路故障
分层检查清单
| 层次 | 检查点 | 责任方 |
|---|---|---|
| 物理层 | 端口 up/down、光模块、光路告警 | 运营商 / 机房 |
| 链路层 | VLAN 编号、互联地址、掩码与 MTU | 两端网络管理员 |
| 网络层 | BGP 邻居状态、路由条目、下一跳 | 云侧与 IDC 侧 |
| 安全层 | 安全组、防火墙、ACL 放行规则 | 云侧与 IDC 侧 |
| 应用层 | 目标服务端口是否监听、业务是否绑定内网地址 | 业务方 |
从本地侧做的第一步探测
从本地侧做的第一步探测
ping -c 5 <对端互联地址> # 互联地址通不通，界定段落
ping -c 5 -s 1400 <对端互联地址> # 大包是否也通，排除 MTU 问题
traceroute -n 10.20.0.10 # 在哪一跳开始断
tcpdump -ni any host 10.20.0.10 # 报文是否发出、有没有回包
# 云控制台：核对专线与虚拟边界路由器的状态是否正常光路问题归运营商处理：带着端口告警、探测结果与时间点开工单，能显著缩短处理时间。故障期间把每一步测试结果留档，否则工单推进时只能凭描述争论。
顺序上先排除「最近有没有变更」：割接、安全组调整、路由策略修改常常是真实起点。变更时间点与故障时间点对不上时，再往链路质量与硬件方向查。