又有新问题了

[opensource]

什么原因？
见图。刷过n变都一样，从公司的internet出去的。
从shaw出去的就没问题。
注意URL， 进某个人的博客，css就没了。
刚开始，胡咯同事，说薄熙来太火了，网站反映不过来了。

[Cisco]

你有公司内部有proxy server或其他content filtering的server过滤网页吗？

[懒人懒]

作者: Cisco

你有公司内部有proxy server或其他content filtering的server过滤网页吗？

正解 上周被我配坏的MS Forefront就是这样。

[bigforest]

公司过滤了好像。

[dayschefu]

估计是dns server不能解析sina域名

[opensource]

作者: 懒人懒

正解 上周被我配坏的MS Forefront就是这样。

能详细点吗？
据反映上周就发生了。这周一我的DNS里的zone被误删了（以为两套dns，不会有问题的；天也升温，脑子有点蒙）。之后手动很快就把zone又建回来了，固定的host就几个，当时发现不对马上就把zone里的记录截了个图。应该和这个事没联系吧。
TRACEROUTE sina和yahoo，出了我的gateway后都只显示了两个ip，后面就timeout了。email到网络部，说没做任何设置改动。
首先想确定：不是我自己dns上的问题吧。先的确定自己没问题，才能继续找网络的人。

自己没设什么过滤。都是同一域名下的网页，要过滤都过滤了。没见过只过滤css样式的。

只有sina.com.cn有这个问题，其他网站都没问题，tianya，hao123，msn

明再找个域外的机子试一下。

[tomgod]

作者: opensource

能详细点吗？
据反映上周就发生了。这周一我的DNS里的zone被误删了（以为两套dns，不会有问题的；天也升温，脑子有点蒙）。之后手动很快就把zone又建回来了，固定的host就几个，当时发现不对马上就把zone里的记录截了个图。应该和这个事没联系吧。
TRACEROUTE sina和yahoo，出...

分段测试。
接在你们公司第一个路由器下试试是否能连上，记得DNS用外网的ISP的。
然后逐步内推，看到哪里出问题。

[懒人懒]

作者: opensource

能详细点吗？
据反映上周就发生了。这周一我的DNS里的zone被误删了（以为两套dns，不会有问题的；天也升温，脑子有点蒙）。之后手动很快就把zone又建回来了，固定的host就几个，当时发现不对马上就把zone里的记录截了个图。应该和这个事没联系吧。
TRACEROUTE sina和yahoo，出...

一个网页很可能分布在很多个服务器上，用不同的IP，甚至距离很远的网段。我当时的问题是forefront的网段设置引起的，一个放css的服务器IP竟然在我的内网网段里，好像那个有问题的网段是forefront缺省设置加进去的，看似普通内网的网址，实际是外网的。

也有可能是dns问题。国内劫持dns，replication因此也可能非常混乱，导致部分ISP的dns不能正确解析国内的ip。既然shaw没问题，试试用shaw的dns解析。

[opensource]

问题来了。domain之外的都没问题，只有自己域内的机子不行。没装forefront，装的是trendmicro。

[Cisco]

作者: opensource

问题来了。domain之外的都没问题，只有自己域内的机子不行。没装forefront，装的是trendmicro。

trendmicro的什么产品？web security server? 还是officescan client？

[opensource]

作者: Cisco

trendmicro的什么产品？web security server? 还是officescan client？

officescan.
问题解决了。一个CCIE小兄弟刚好打了个电话进来。把自己dns的forward指导8.8.8.8就好了。但还是没弄懂为什么css的样式出不来？没什么大部分能解析，只有个别的不行？
正规的forward应该指导哪？我的上一级还是其他的？

[Cisco]

作者: opensource

officescan.
问题解决了。一个CCIE小兄弟刚好打了个电话进来。把自己dns的forward指导8.8.8.8就好了。但还是没弄懂为什么css的样式出不来？没什么大部分能解析，只有个别的不行？
正规的forward应该指导哪？我的上一级还是其他的？

8.8.8.8和4.2.2.2都是google的dns server，通常你的fowarder应该指到你ISP的dns server上。
我原来觉得也许和你的officescan有关，因为新的officescan client有web reputation的服务，如果你没有设置过的话，default不管在内网和外网这个服务都会通过trendmicro的internet上的web reputation server检查每一个客户的web request，也许网页里内嵌的某些内容被它过滤掉了，在你的local 的officescan server的log里应该可以看得到哪些block了。通常应该在officescan server设一个相关的alert email。
不过你说改了dns就好了，也许确实是你原来dns server的问题。css可能调用不同网址的内容，而你原来的dns server解析有问题。

[wdqin]

以后这种问题直接交给network guy好了，15分钟处理不了让老板换人。

[懒人懒]

作者: opensource

officescan.
问题解决了。一个CCIE小兄弟刚好打了个电话进来。把自己dns的forward指导8.8.8.8就好了。但还是没弄懂为什么css的样式出不来？没什么大部分能解析，只有个别的不行？
正规的forward应该指导哪？我的上一级还是其他的？

作者: 懒人懒

一个网页很可能分布在很多个服务器上，用不同的IP，甚至距离很远的网段。我当时的问题是forefront的网段设置引起的，一个放css的服务器IP竟然在我的内网网段里，好像那个有问题的网段是forefront缺省设置加进去的，看似普通内网的网址，实际是外网的。

也有可能是dns问题。国内劫持dns，replication因此也可能非常混乱，导致部分ISP的dns不能正确解析国内的ip。既然shaw没问题，试试用shaw的dns解析。

肯定没认真看我的帖子，我已经告诉你问题出在哪里了，而且原因是什么。打PP

[懒人懒]

作者: wdqin

以后这种问题直接交给network guy好了，15分钟处理不了让老板换人。

这种问题不一定是网络问题，还有上面在讨论的security gateway，甚至客户机上装的网络安全软件引起的。浏览器的缓存出错，也会出这种问题。还有感染malware、木马，客户机上装挡广告的软件，甚至有些网站对某些浏览器的支持不好都可能。

照你这么说，不出一个星期，所有人都被开掉了。

[wdqin]

作者: 懒人懒

这种问题不一定是网络问题，还有上面在讨论的security gateway，甚至客户机上装的网络安全软件引起的。浏览器的缓存出错，也会出这种问题。还有感染malware、木马，客户机上装挡广告的软件，甚至有些网站对某些浏览器的支持不好都可能。

照你这么说，不出一个星期，所有人都被开掉了。

这种问题可能不是网络问题，但让网络组的人开始troubshooting肯定会比server guy，要是我，第一时间做的就是nslookup，然后是tracert，接着是Telnet port 80，做完这些都过来，才跟网络没关系，但问题不是已经很清楚了吗？

[opensource]

完全不是网络部的问题，我自己的dns问题。

在 dc1的forward tab里，当时“user root hints if no forwarders are available" 是checked的。按照以前mcse说的，我的dns去找顶级域root，root一级一级往下找。我的绝大部分域名解析没问题，cnn， yahoo，sina北美。只有中国sina不行。说明在解析中国sina时超时。 （问什么sina会超时，而一些小网站到没事？）
理论上，root hints是没问题，所以没填forward，dns基本工作正常。实际工作中大家都填isp的dns ip， 或者google的dns ip。还有人建议不要填isp的，因为有的isp很操蛋；只填google的。

现在好像回想起一点了，1年多前，切换ISP，自己的dns forward好像指向的是自己，OLD-DC1.（network guy给填的）。现在出问题，就是因为没填forward。
现在还没要到isp dns的ip，都发了3次信了，算了也不想用他的了。 networkguy应该背的住自己dns的ip把！？

[opensource]

作者: wdqin

这种问题可能不是网络问题，但让网络组的人开始troubshooting肯定会比server guy，要是我，第一时间做的就是nslookup，然后是tracert，接着是Telnet port 80，做完这些都过来，才跟网络没关系，但问题不是已经很清楚了吗？

network guy 把ping都禁用了，我只能ping自己的gateway

[opensource]

作者: 懒人懒

肯定没认真看我的帖子，我已经告诉你问题出在哪里了，而且原因是什么。打PP

sorry，真没注意仔细看。国内劫持dns，replication因此也可能非常混乱，导致部分ISP的dns不能正确解析国内的ip
国内的dns权威解析是谁？没准哪天google也挂了。很多年没做运维了，多谅解。

[wdqin]

作者: opensource

network guy 把ping都禁用了，我只能ping自己的gateway

所以你 才应该第一时间将问题给network。你连troubleshooting的手段都没有。