03-Linux网络故障排查：从DNS配置到防火墙设置的全面指南

1. 当Linux告诉你"Name or service not known"时

第一次在Linux终端看到"Name or service not known"这个错误提示时，我正急着要下载一个重要的软件包。那种感觉就像你明明知道朋友家的地址，导航却死活找不到路。这个看似简单的网络问题，背后可能藏着DNS配置、防火墙设置、网络服务状态等多重原因。

最常见的情况是，你的Linux系统无法将域名（比如www.baidu.com）解析成IP地址。这就好比你知道朋友叫"张三"，但通讯录里却没有他的电话号码。在技术层面，这意味着DNS解析失败了。我遇到过好几次这种情况，有时候是因为虚拟机网络服务没启动，有时候是DNS配置写错了，还有时候是防火墙在"作怪"。

要快速判断问题出在哪里，我通常会先执行几个简单的测试命令。首先ping 8.8.8.8（这是Google的公共DNS服务器IP），如果能通，说明网络连接本身是好的，问题很可能出在DNS解析上。如果连IP都ping不通，那就要检查网络连接和防火墙设置了。

2. 检查你的网络基础配置

2.1 确认网络接口状态

在开始修改任何配置之前，我们需要先确认当前的网络状态。执行这个命令：

ip addr

这个命令会列出你所有的网络接口。找找看哪个接口有分配IP地址，通常是以"eth"或"ens"开头的名字，比如ens33。如果看到类似"inet 192.168.1.100/24"这样的信息，说明这个接口已经获得了IP地址。

有一次我帮同事排查问题，发现他的网卡根本没启动。这种情况需要先激活网卡：

sudo ifconfig ens33 up

如果连IP地址都没有，可能需要检查DHCP服务是否正常工作，或者考虑手动配置静态IP。

2.2 测试基本网络连接

在确定网卡状态正常后，我会用这些命令做进一步测试：

# 测试本地网络 ping 127.0.0.1 # 测试网关连通性（先用ip route命令查看网关地址） ping 192.168.1.1 # 测试外部IP连通性 ping 8.8.8.8

这个步骤就像医生检查病人的生命体征一样基础但重要。如果连127.0.0.1都ping不通，那可能是网络协议栈出了问题；如果能ping通网关但ping不通外网，可能是网关配置或防火墙的问题。

3. 解决DNS解析问题

3.1 检查并配置DNS服务器

当你能ping通IP但无法解析域名时，问题肯定出在DNS配置上。Linux系统主要使用两个文件来配置DNS：

1. /etc/resolv.conf- 定义DNS服务器地址
2. /etc/sysconfig/network-scripts/ifcfg-ens33- 网卡配置文件（名字中的ens33要换成你的实际网卡名）

我建议先修改网卡配置文件，因为某些Linux发行版会在每次重启时覆盖resolv.conf的内容。用你熟悉的编辑器打开网卡配置文件：

sudo vi /etc/sysconfig/network-scripts/ifcfg-ens33

在文件末尾添加或修改这些行：

DNS1=8.8.8.8 DNS2=8.8.4.4

保存后，再编辑/etc/resolv.conf：

sudo vi /etc/resolv.conf

确保内容类似这样：

nameserver 8.8.8.8 nameserver 8.8.4.4

3.2 测试DNS解析功能

配置完成后，不要急着重启网络服务，先用这些命令测试一下：

nslookup www.baidu.com dig www.baidu.com

这两个命令都能测试DNS解析是否正常工作。如果看到返回了IP地址，说明解析成功了。如果还是不行，可能需要检查网络管理器是否覆盖了你的设置，或者尝试更换其他DNS服务器，比如国内的114.114.114.114。

4. 防火墙和SELinux的干扰

4.1 临时关闭防火墙测试

有时候DNS配置完全正确，但就是解析不了域名，这很可能是防火墙在捣乱。我遇到过好几次这种情况，特别是在CentOS/RHEL系统上。可以先用这些命令临时关闭防火墙测试：

# 对于firewalld sudo systemctl stop firewalld # 对于iptables sudo systemctl stop iptables

如果关闭防火墙后问题解决了，说明需要调整防火墙规则而不是完全禁用它。对于DNS查询，通常需要放行UDP 53端口：

sudo firewall-cmd --add-port=53/udp --permanent sudo firewall-cmd --reload

4.2 处理SELinux的影响

SELinux是另一个可能导致网络连接问题的"隐藏角色"。虽然不推荐完全禁用SELinux（它会降低系统安全性），但可以暂时设置为宽容模式来测试：

sudo setenforce 0

如果这样能解决问题，说明需要调整SELinux策略而不是禁用它。可以使用audit2allow工具来生成新的策略模块。

5. 网络服务管理

5.1 重启网络服务

在修改完所有配置后，记得重启网络服务使更改生效。不同版本的CentOS命令有所不同：

# CentOS 6及以下 sudo service network restart # CentOS 7及以上 sudo systemctl restart NetworkManager

有时候简单的服务重启就能解决问题。我有次花了两个小时排查，最后发现只是需要重启网络服务而已。

5.2 检查网络管理器状态

如果你的系统使用NetworkManager管理网络，可以用这些命令检查其状态：

sudo systemctl status NetworkManager nmcli connection show nmcli device status

NetworkManager有时会覆盖手动配置的网络设置，特别是在图形界面环境下。如果遇到配置被重置的情况，可能需要修改NetworkManager的配置文件或在图形界面中设置。

6. 高级排查技巧

6.1 使用tcpdump抓包分析

当常规方法都失效时，我通常会祭出抓包工具tcpdump。这个命令可以捕获DNS查询数据包：

sudo tcpdump -i ens33 port 53 -vv

执行这个命令后，在另一个终端尝试ping某个域名。如果能看到DNS查询请求发出但没有收到回复，或者请求根本没发出，就能更准确地定位问题所在。

6.2 检查路由表

有时候问题不在DNS，而在路由。使用这个命令查看路由表：

ip route show

确保默认路由（default via ...）指向正确的网关地址。如果路由表有问题，可以手动添加路由：

sudo ip route add default via 192.168.1.1 dev ens33

7. 虚拟机环境特殊注意事项

在VMware或VirtualBox等虚拟机环境中，网络问题更加常见。除了检查Linux系统内部的配置，还需要注意：

1. 确保虚拟机网络适配器设置正确（NAT或桥接模式）
2. 主机上的虚拟网络服务是否运行（特别是VMware NAT Service）
3. 虚拟机网络连接是否被主机防火墙阻止

我遇到过最棘手的一个案例是，主机上的杀毒软件静默阻止了所有虚拟机的网络连接。这种情况只能通过逐一排查主机软件来解决。

8. 持久化你的解决方案

解决了问题后，别忘了确保这些设置在重启后依然有效。特别是：

1. 防火墙规则要用--permanent参数保存
2. 网络接口配置要设置ONBOOT=yes
3. 重要的路由可以添加到/etc/rc.local中

对于生产环境，我建议编写自动化脚本来检查和修复常见网络配置问题。这样可以大大减少故障排查时间。