网络排障：变更窗口、路径证据与 TLS
网络变更、证据留存与恢复
本篇用于日常变更与恢复：操作前保存当前配置和资源对应关系，操作后检查业务结果，达到回退条件时按已确认的顺序恢复。
DNS与路由变更窗口
网络变更窗口应记录旧值、影响范围、观察点与回退触发条件。DNS先降低TTL仍需等待此前缓存到期；路由先核对管理通道回程，再分批生效。每次只改变一个可归因变量，保留带时间的前后快照。离线推演通过不能证明真实链路可用。
抓包保留与脱敏
抓包脱敏应覆盖凭据、Cookie、DNS查询和内部拓扑；只遮住截图中的IP并没有清除原始文件。先限定接口、主机、时间与文件大小，再按授权保留期限删除材料。向协作者提供最少字段，保留必要的序号、方向和时序关系，避免因脱敏破坏诊断证据。
练习与参考解答
练习：DNS记录原TTL为3600秒，10:00才降到60秒，10:01计划切换；09:59已缓存旧记录的客户端一定在10:02更新吗？列出切换和回退清单中的具体对象。
参考解答
不能保证，该客户端可能按原3600秒保留到接近10:59。清单应保存旧/新记录、解析器与权威观察点、原TTL窗口、负责人和回退触发条件；同时检查管理通道的地址与返回路由。回退权威记录也不能立即清空所有递归缓存。
解析失败、拒绝与超时定位
定位故障时先记录时间、目标和最近变更，再沿本篇的对象链检查。保留原始错误与状态；每次只改变一个已找到证据的条件，并复测原始症状。
从现象到最小证据
超时排查先确认目标名字、解析结果与目标端口，再查本机源地址、路由、链路与回程。DNS成功后连接失败，不能继续把问题归咎于解析。用两端同时刻的证据判断SYN是否到达、响应是否返回；没有抓到包只能说明当前观察点没看到，不能断言全网无包。
大包失败与PMTU
PMTU问题常表现为小包可达、大负载卡住。路径MTU小于发送大小且必要ICMP消息被过滤，可能形成黑洞；隧道封装还会增加开销。不要以一次ping成功证明大流量正常，也不要直接全局降低MTU。先确认封装、接口和ICMP反馈，再在隔离环境逐段推演。
练习与参考解答
练习：材料：名字解析正常，小请求成功，经隧道的大响应反复超时。是否可以据此关闭所有防火墙？下一步至少核对哪两项证据？
参考解答
不能。小请求不证明路径支持更大的报文，隧道封装可能降低有效MTU，必要的ICMP反馈被过滤也可能导致黑洞。先核对隧道接口/封装开销与两端可用MTU，再核对相关ICMP反馈及大报文的发送/重传时间；仍需排除应用超时，不能仅凭模式断言PMTU故障。
HTTPS 证书校验失败
检查域名、证书链、有效期和客户端信任库。
证书校验失败意味着客户端无法确认对端身份。排查时保留校验，不使用 curl -k 或忽略证书错误作为最终修复。
排查步骤
1. 获取客户端校验错误
curl -vI https://<host>/预期结果: 输出显示连接域名、证书问题及 HTTP 是否实际建立。
2. 查看服务端证书链
openssl s_client -connect <host>:443 -servername <host> -verify_hostname <host> -verify_return_error预期结果: 检查证书主题、签发者与 verify return code；SNI 和预期校验名称使用同一域名；-servername 只选择服务端证书，不能代替 -verify_hostname。
3. 核对客户端时间
date -u预期结果: 系统时间合理；若时间正确，继续核对证书有效期、域名与 CA 链。
常见报错
certificate has expired
原因: 证书过期或客户端时间错误。
处理方式: 先核对时间，再由证书管理方续期并部署完整证书链。
unable to get local issuer certificate
原因: 中间证书缺失，或客户端不信任签发 CA。
处理方式: 核对服务端提供的链及客户端信任库；不要关闭验证。
相关文档
官方资料
继续阅读
- 排错
- 排错
- 排错