云主机无法访问外网排查方法

故障描述

从京东云主机访问外部网络时遇到无法访问的情况，可参考本节的故障情况及解决思路排查。

故障原因

以下排查思路根据原因的出现概率进行排序，建议用户从高频率原因往低频率原因排查，从而快速定位到故障的原因。

如果解决完某个可能原因仍未解决问题，请继续排查其他可能原因。

排查思路

1、检查资源配置

• 检查有无欠费

• 检查资源是否正常运行

• 检查资源占用情况

2、检查网络规则

• 检查子网

• 检查路由表规则

• 检查ACL规则

• 检查安全组

3、检查云主机解析

• 检查DNS解析

• 检查hosts解析

4、检查操作系统限制

• 检查网卡状态是否异常

• 检查网卡配置

• 检查火墙策略工具

• 检查网关设置

解决方案

1、检查资源配置

• 检查有无欠费

  请在控制台检查账户下的资源是否欠费。

  欠费的资源可能存在无法使用的情况，需要立即进行续费。

• 检查资源是否正常运行

  请在控制台检查云主机及各类相关产品状态是否为“运行中”。

  检查云主机是否绑定可以访问外网的IP。京东云主机可以通过绑定公网IP或通过NAT网关的方式访问外网。

  如果用户绑定的公网IP请参考云主机使用弹性公网IP。

  此外，如果用户为云主机配置了通过NAT网关访问外网的方式，则需要检查NAT网关的子网路由等配置。

• 检查资源占用情况

  当云主机出现网络中断时，则可能是云主机的CPU利用率过高或带宽占用受限导致。

  如果用户通过云监控创建过告警任务，当资源占用过高时系统会自动发送告警给用户。

  用户可以通过控制台监控查询到资源占用情况，资源占用异常时需要对相关进程做出限制。

2、检查网络规则

• 检查子网

  可参考京东云子网配置

  检查子网中绑定的路由表及ACL规则是否正确。

  

• 检查路由表规则

  可参考京东云路由表规则及配置方法

  检查路由表中的目的端IP及端口、下一跳类型等是否正确。

  

• 检查ACL规则

  可参考京东云ACL规则配置

  检查ACL规则中的入栈规则和出站规则是否将IP和端口屏蔽。

  

• 检查安全组

  可参考京东云安全组规则配置

  在<控制台>-<云主机>-<安全组>界面中可以查询相应的安全组规则是否对云主机访问外网做出限制。

  

3、检查云主机解析

• 检查DNS解析

  系统默认解析为创建云主机实例时集成在镜像中的京东云DNS服务器IP。

  执行如下命令查看DNS解析：

    cat /etc/resolv.conf
  

  

  测试解析是否正确：
  

  能正常解析则证明DNS无误。

• 检查hosts解析

  手动设置的解析可能存在域名和IP对应错误的情况。

  可通过以下命令查看honsts解析是否有误。

    cat /etc/hosts
  

  如果有错误对应关系，可更改或注释掉相应解析后退出保存。

4、检查操作系统限制

• 检查网卡状态是否异常

  网卡状态默认是启动的，但是可能会因为误操作导致网卡不可用

  可以通过或命令查看网卡状态。以京东云主机为例，默认网络设备为eth0。

    ip addr #显示所有网络设备信息(用来查看未启用的网络设备)
    ifconfig eth0 up #启用eth0网络设备
  

  

• 检查网卡配置

  网卡配置文件如果设置错误，将导致网络无法正常联通

  执行以下命令，打开/etc/sysconfig/network-scripts/ifcfg-eth0中的配置。

    vim /etc/sysconfig/network-scripts/ifcfg-eth0
  

  修改/etc/sysconfig/network-scripts/ifcfg-eth0中的配置。

  以CentOS 7操作系统为例：

    DEVICE="eth0"
    IPV6INIT="yes"
    BOOTPROTO="dhcp"
    UUID="cdaac735-09b6-45d5-afcd-29cfe3f9d13c"
    ONBOOT="yes"
    ZONE=public
  

  默认设置为dhcp，由子网中的dhcp服务器向其分发各种网络配置。如需手动设置，将的值更改为‘none’。

• 检查火墙策略工具

  Linunx系统中常用的火墙策略管理工具为firewalld和iptables，但两种工具同时使用可能存在网络策略冲突，因此通常情况下两种工具二选一。在内网环境中为了避免不必要的操作，某些情况下会关闭火墙策略。

  可根据用户使用习惯仅启用iptables。

    systemctl disablt --now firewalld.service
  

  或者仅启用firewalld(清空iptables策略后刷新)。

    iptables -P INPUT ACCEPT
    iptables -P FORWARD ACCEPT
    iptables -P OUTPUT ACCEPT
    iptables -F
  

  或者同时关闭。

• 检查网关设置

  网关路由

  可以使用以下命令查看：

    route -n
  

  

  如果第一项0.0.0.0的IP没有指向该云主机子网的Gateway，则需要使用以下命令手动添加临时网关：

    route add defautl gw <网关IP> dev eth0 
  

  也可以更改网络配置文件永久添加：

    nmcli connection modify <连接名称> ipv4.gateway <网关IP>
    nmcli connection reload
    nmcli connection up <连接名称>