故障排查最有效的方法是分层和保留证据。先确认问题发生时间、影响范围和最近变更，再按照硬件链路、网络可达、认证隧道、策略命中、业务系统和性能资源逐层定位。
先看结论
- 先止损并保护现场证据。
- 一次只改变一个变量。
- 不要用放宽全部策略代替定位。
- 恢复业务后仍要完成原因和预防措施。
链路和网络类故障
常见现象包括端口不亮、错误计数增长、单向可达、路由错误和备用链路异常。先检查物理连接、模块、地址和路由，再观察两端状态是否一致。
- 端口与光功率。
- 地址、掩码和路由。
- 链路双向与主备路径。
认证和策略类故障
隧道不建立通常与时间、证书、信任链、对端标识或算法不一致有关；隧道正常但业务异常则重点检查策略范围、方向、端口和路由。
- 证书有效期与时间。
- 策略命中和未匹配记录。
- 最近变更与对端同步。
性能与高可用故障
高负载、突发流量、策略规模或资源异常可能表现为时延和丢包。主备不同步、心跳或链路设计问题可能导致切换失败。应结合监控、资源、业务和告警共同判断。
- 采集问题时段指标。
- 对比正常基线。
- 验证恢复和再次切换。
故障定位表
| 检查项 | 判断方法 | 建议输出 |
|---|---|---|
| 现象范围 | 时间、对象、方向和影响 | 故障摘要 |
| 最近变更 | 配置、证书、版本和链路 | 变更记录 |
| 分层检查 | 链路到业务逐层验证 | 排查记录 |
| 恢复措施 | 临时止损和正式修复 | 处置方案 |
| 复盘预防 | 根因、监控和制度改进 | 复盘报告 |
落地实施建议
故障期间优先保证安全可控地恢复业务；若采取临时旁路或放宽策略，必须经过授权、限制时间并在恢复后立即撤销。所有临时措施都应留下记录。
- 先形成拓扑、业务流、接口和地址清单。
- 在隔离测试环境完成参数模板与策略验证。
- 选择低风险窗口上线，保留明确的回退路径。
- 用业务、性能、告警、日志四类证据完成验收。
- 把证书、策略、配置备份和版本信息纳入周期巡检。
常见问题
隧道正常为什么仍然丢包？
还需检查物理错误、路由、策略、流量峰值、资源和业务端状态。
重启能否作为排障方法？
重启可能暂时恢复但会破坏现场，应先采集配置、日志和资源信息，并评估业务影响。
如何避免重复故障？
完成根因分析，把监控、预警、配置基线、变更流程和备件措施落实到责任人。
相关内容
需要项目级选型或部署清单？ 请携带站点规模、接口类型、链路数量和冗余要求，前往联系页面获取针对性建议。具体参数以项目技术协议和实物资料为准。