宽带被列黑名单，究竟谁才是罪魁祸首

宽带被列黑名单，究竟谁才是罪魁祸首

有一客户，宽带被列入黑名单，此前发现网络时常卡顿，曾多次找人排查故障，始终没能找到问题根源。

客户向运营商申请退出流量清洗机制时，也被运营商要求整改，否则将再次被纳入黑名单、持续限制网络使用。

几经辗转，客户最终联系我们上门进行故障排查。

根据以往经验，大概率是因为上传流量大于下载流量，并持续一段时间后，触发了运营商的流量安全防护机制，最终导致宽带被拉黑，鉴于此，我们马上就有了排查思路。

首先，我们登录企业主路由器，打开终端监控功能，对全网设备的上行流量数据进行实时监测和统计。

经过一段时间的观测，以及对历史记录的查询，我们成功锁定了全网上行流量占比最大、持续高频发包的设备IP地址与对应的MAC物理地址。

为了排除设备IP动态变动导致排查失误的问题，我们接入核心交换机，通过专业运维命令进一步核验信息。在交换机命令界面输入 dis arp | inc 对应IP 指令，查询结果显示，该异常设备的IP地址与MAC地址与路由器显示一致。

继续在核心交换机执行 dis mac-add | inc 对应MAC 命令，快速查询该MAC地址对应的交换机接入端口。确定端口后，我们再次输入 dis mac-add 端口号 查看该端口下连接的设备数量，以此判断故障层级。

若该端口下仅查询到一个MAC地址，说明此端口直接对接终端设备，无下级拓展设备，顺着这条网线或者拔线断网就能确认异常设备；

若该端口下查询到多个MAC地址，则证明该端口下联了二级交换机，需要前往下一级交换机继续排查溯源。

本次排查中，核心交换机对应端口显示多个MAC地址，我们随即逐层排查下级交换机。排查过程中发现部分下级设备为傻瓜交换机，无管理功能，无法查询MAC地址与端口的对应关系，无法通过命令快速定位设备。

针对这类非网管交换机，我们采用长ping溯源法：持续ping异常设备的固定IP地址，随后逐一拔掉傻瓜交换机端口网线，当ping请求出现超时断连时，即可确定该端口对应的终端为异常流量设备。

这时候，问题来了，没人反馈说网线断开了。

怎么办？继续找呗，我们逐一排除了打印机、门禁、监控等各类设备，一时无解。

然后行政带着我们四处翻找，最终终于成功锁定故障源头——居然是老板办公室电视机后方的机顶盒！

正是这台隐蔽的机顶盒长期在发送上行流量，占用大量网络资源，不仅导致全网持续卡顿、延迟过高，还致使企业宽带被列入黑名单。

盲猜这东西是这黑了，要么成了肉鸡，要么被人利用在跑PCDN，这我们就不管了，打完收工，收钱走人。