故障現場
- 環境：26 台工作站 + 1 台 Web 服務器 (Win2003)，同一交換機、同一子網。
- 現象：所有瀏覽器訪問 Web 站點彈出認證框，輸入正確域帳號/管理員帳號均失敗。
- 初查：Web 站點「目錄安全性」已勾選「匿名訪問」，Ping 服務器 IP 通。
排查路徑復盤
| 階段 | 動作 | 發現 | 結論 |
|---|
| 1. 線路驗證 | 交換機端口 UP、網線通、Ping 通 | 物理鏈路正常 | 問題在服務器或上層協議 |
| 2. 認證設置複核 | IIS 匿名/集成認證反復切換、主目錄 NTFS 權限 Everyone 讀取 | 無效 | 非 IIS 權限配置問題 |
| 3. 授權模式嘗試 | 「每服務器」5 連接 → 改「每設備/用戶」→ 重啟 | 無效 | 非 CAL 授權限制 |
| 4. 關鍵線索 | 用戶反映新網絡打印機無法打印，日志顯示 IP 衝突 | 衝突 IP = Web 服務器 IP | 鎖定兇手 |
真相大白
網絡打印機內建 Web 管理界面，預設禁用匿名訪問、需認證。其 DHCP 獲取/手動設置 IP 與 Web 服務器衝突後：
- 用戶瀏覽器請求 Web 服務器 IP → ARP 解析到打印機 MAC。
- 打印機 Web 服務返回 401 認證挑戰 → 瀏覽器彈框。
- 輸入 Web 服務器帳號失敗（打印機帳號體系獨立）。
- Ping 通是因打印機回應 ICMP，掩蓋了衝突本質。
解決與預防
- 修改打印機 IP，排除衝突 → Web 服務器恢復正常。
- 建立 IP 地址管理台帳（IPAM），關鍵設備靜態綁定 MAC+VLAN。
- 交換機啟用 DHCP Snooping + IP Source Guard，防止非授權 DHCP/靜態 IP 衝突。
- 新設備上線前掃描 ARP 表、Ping 掃描目標 IP，確認無佔用。
運維心法
「故障往往藏在最近的變更裡。保持對環境變更的感知，比精通十八般排查武藝更管用。」
