网络时断时续的故障往往令人头疼，常规方法难以定位。通过一次真实的故障排查过程，展示如何利用抓包技术，层层深入，精准找到问题根源，解决这个棘手的网络难题。
智能速览
故障现象为PC访问特定服务器时断时续。
通过Ping测试和抓包初步排除了物理链路问题。
在交换机上逐级抓包，发现响应报文MAC地址异常。
根本原因为PC上设置了两条等成本的默认路由。
删除多余的默认路由配置后，网络恢复正常。
精华内容
当常规的排查手段陷入僵局，如何撕开问题的口角？实战案例将展示抓包技术在复杂网络环境中的强大威力。
故障现象与初步排查
故障表现为一台PC访问服务器1时连接时断时续，但访问服务器2和3则完全正常。更换PC的IP地址后，问题会暂时消失，但一段时间后再次出现。通过向服务器2和3发送数百个Ping包进行测试，结果显示延迟均低于1毫秒且无丢包，这基本排除了物理链路故障的可能性。同时，如果是防火墙策略问题，连接应当是彻底不通，而非时通时断，因此初步判断问题并非出在策略层面。
抓包追踪，发现异常
在排查思路陷入僵局时，决定采用最直接的方法：抓包。在交换机1上抓取PC到服务器1的数据包，发现所有SYN请求都未收到应答。于是沿着数据路径，在下一台交换机继续抓包，直到交换机2才捕获到了SYN-ACK应答报文。对比分析请求与应答报文发现，请求报文的目的MAC地址尾数为1328，但应答报文的源MAC地址尾数却是5B91，二者并不匹配。这表明应答报文并非来自预期的路由器，问题就出在这个MAC地址的错配上。
顺藤摸瓜，定位设备
为了查明MAC地址尾数为5B91的设备，使用命令查询该MAC地址对应的交换机端口。发现该端口下连接了一台处于透明模式的防火墙X。继续顺着网线追踪，在防火墙X下游又找到一台路由器X。登录这台路由器X后，确认其接口地址的MAC尾数正是5B91。至此，完整的网络拓扑被理清：一条被遗忘的测试路由链路混杂在网络中，导致数据包被错误地引向了它。
锁定根源，解决问题
拓扑清晰后，问题焦点回归到PC本身。检查PC的IP配置，发现其高级TCP/IP设置中存在两条等价的默认网关。一条指向正确的路由器，另一条则指向了IP地址为192.168.1.100的错误路由器X。系统在处理数据包时随机选择网关，导致了时通时断的现象。在确认删除该测试网关不影响业务后，将其移除。再次抓包验证，请求与应答报文的MAC地址已完全对应，网络故障彻底解决，且未再复现。
这个案例生动地展示了面对复杂网络故障时，系统性排查思路与抓包技术的结合是多么重要。它告诉我们，当遇到看似无解的问题时，回归数据链路层面往往能找到突破口。那么，如果那两条默认网关分别指向不同的业务网络，又该如何设计才能既保证冗余又避免冲突呢？
