不用复杂命令，快速定位二层 / 三层网络故障

一、核心原理先分清

二、5步极速判断流程（现场直接套用）

1. 同VLAN两台设备互ping（关键分界测试）

2. 看ARP表，二层故障最典型特征

操作：arp -a（Windows）/ display arp（交换机）

1. 目标IP无ARP条目（MAC显示不完整、incomplete） → 二层链路/端口/VLAN、STP、环路、端口UP/DOWN问题
2. ARP能正常解析出正确MAC，但ping不通 少见，多为ACL、端口安全、二层隔离导致
3. ARP解析正常，同网段互通，跨网段断 → 三层路由、网关、ACL、防火墙拦截

3. 跨网段测试（区分三层）

4. tracert / traceroute 分层定位（最直观）

现象1：tracert 第一跳（网关）就超时

• 同网段PC互ping不通：二层故障
• 同网段PC互通，仅ping网关不通：三层接口、网关down、ACL拦截网关

现象2：第一跳网关正常，后面节点超时

纯粹三层路由故障，回程路由缺失、对端拦截、路由不可达

5. 交换机端口基础二层快速检查

1. 端口状态：display interface brief down/err-disabled、频繁up-down → 二层物理/链路故障
2. VLAN配置：接口是否划入正确VLAN、允许列表
3. STP：端口被阻塞Discarding，同VLAN不通 → 二层环路问题
4. 端口安全、MAC绑定、ACL二层规则：拦截报文

三、典型故障现象对照表

四、极简现场排查口诀

1. 同网段不通，先查二层；同网段通跨段断，必查三层
2. ARP出不来=二层；ARP正常跨段不通=三层
3. tracert第一跳挂死多二层，过了网关再超时纯三层
4. Trunk、VLAN、STP、端口状态全是二层；路由、网关、ACL、NAT全是三层