故障排查手册香港阿里云cn2 网络异常定位与解决流程

1.

准备与前提确认

1.1 登录权限：确认你有阿里云账户、对应Region（香港）和ECS实例的控制台/SSH权限。
1.2 环境信息：记录实例ID、私有IP、EIP、公网带宽信息、所属VPC/交换机ID、路由表ID和安全组规则。
1.3 工具准备：准备好ssh/putty、traceroute/mtr、tcpdump、telnet/tcping、云监控（CloudMonitor）和云诊断工具的访问权限。

2.

第一步：判断范围（宿主侧、云侧或公网）

2.1 本机到实例是否连通：从本地用ssh/tracert/psping尝试连接EIP。若连不上，继续下一步。
2.2 控制台检查：在阿里云控制台查看实例状态是否Running，EIP是否绑定，弹性网卡ENI是否正常。
2.3 排除宿主机问题：若有多台实例同一VPC均异常，可能是VPC/路由/交换机或CN2到ISP链路异常。

3.

第二步：实例内基础网络检查

3.1 本地网络接口：运行ip addr / ifconfig，确认网卡启用并有正确私有IP。
3.2 路由表与默认网关：运行ip route，确认默认路由指向正确网关。
3.3 本机连通性测试：ping 114.114.114.114、ping 内网网关、traceroute到目标，记录丢包与延迟。

4.

第三步：安全组与网络ACL检查

4.1 控制台确认：打开实例所属安全组规则，核对入站/出站是否允许所需端口和协议（ICMP/TCP 80/443/你的端口）。
4.2 NACL与路由表：在VPC中检查子网ACL及路由表是否有覆盖错误的0.0.0.0/0或黑洞路由。
4.3 临时放宽规则：为测试可短时放宽安全组策略以排除规则误拦（测试后恢复）。

5.

第四步：EIP、SNAT、NAT网关与弹性网卡排查

5.1 EIP绑定状态：确认EIP绑定到正确实例或ENI，若异常可尝试解绑再绑定。
5.2 SNAT与NAT：若使用NAT网关，检查SNAT规则、转发条目与带宽包是否正常。
5.3 ENI热插拔：必要时对非生产实例进行ENI解绑重绑或重启实例来排除虚拟网卡异常（生产请谨慎）。

6.

第五步：使用 traceroute / mtr 定位链路问题

6.1 Linux命令：mtr -r -c 100 目标IP（或traceroute -T -p 80 目标IP），保存结果用于分析。
6.2 观察节点：定位首次出现高延迟或丢包的跳点，若在阿里云出口或HK骨干节点后出现问题，可能是CN2链路或对端ISP问题。
6.3 多点比对：从不同区域或不同实例对同一目标做traceroute，比较差异。

7.

第六步：抓包与应用层诊断

7.1 tcpdump抓包：tcpdump -i eth0 host 目标IP and (port 80 or port 443) -w /tmp/cap.pcap，抓取一定时长用于分析三次握手、重传等。
7.2 应用日志：检查服务器应用日志（Nginx/Apache/应用）是否有连接超时或后端报错。
7.3 本地复现：用curl -v、telnet 或 tcping 检测具体端口连通性和TLS握手是否成功。

8.

第七步：云监控与网络指标分析

8.1 使用CloudMonitor：查看实例和ENI的网卡流量、丢包率、带宽峰值和错误包指标。
8.2 控制台链路报错：检查云厂商事件通知、HK Region维护公告或网络报警记录。
8.3 性能瓶颈确认：若带宽饱和或流量异常，考虑扩容带宽或配置带宽包。

9.

第八步：常见快速修复方法

9.1 重启网络服务或实例：systemctl restart network/重启实例（谨慎，先通知业务）。
9.2 更换EIP或切换线路：解绑EIP并申请新EIP，或将流量迁移到另一可用区/Region做对比。
9.3 与对端确认：若对端为客户或第三方CDN，确认对端是否有变更或限速策略。

10.

第九步：收集资料上报阿里云支持

10.1 必备信息：实例ID、EIP、公网IP、traceroute/mtr输出、tcpdump抓包（pcap）、CloudMonitor告警截图、发生时间段。
10.2 提交工单：在阿里云控制台提交网络类工单，附上上述资料并标明影响范围与业务紧急度。
10.3 跟进建议：要求支持侧做BGP路由诊断、CN2链路健康检查与区域骨干路由跟踪。

11.

第十步：特殊注意——CN2链路特点与诊断要点

11.1 CN2为运营商优质骨干，路由通常走BGP优先级，观察traceroute中运营商节点标识（如China Telecom/CN2或ASN信息）。
11.2 若问题在运营商链路，记录首次可复现的跳点IP和AS号，供阿里云联系运营商核查。
11.3 跨境策略：考虑在高峰时间与非高峰时间分别测试，判断是否为跨境出口拥塞或限速。

12.

问：遇到香港区域的CN2连接高丢包，我先要做哪些最关键的快速定位？

答：首先在实例内用ping/traceroute/mtr定位首次丢包跳点，同时在控制台核对EIP/ENI/路由表与安全组，抓取tcpdump和CloudMonitor指标以便上报支持。

13.

问：如果traceroute显示问题在阿里云出口但控制台一切正常，我应如何跟进？

答：保存traceroute与mtr结果，提交工单要求阿里云侧做BGP和骨干链路诊断，并附上抓包与CloudMonitor数据，必要时请求阿里云联系对应运营商（CN2）跟进。

14.

问：能否通过更换实例或EIP快速绕过CN2异常？

答：可临时通过解绑并绑定新EIP、迁移到不同可用区或使用备份线路（如备份Region或混合云出口）来缓解，但根本问题仍需与阿里云/运营商协同定位并修复。

来源：故障排查手册香港阿里云cn2 网络异常定位与解决流程