内容摘要：上周三凌晨两点，我盯着屏幕上跳动的告警日志，发现核心交换机的一个端口在十分钟内反复up/down了十七次。这不是演习。那台设备下面挂着三个业务系统，任何一个掉线都够运维团队忙到天亮。我抓起手边的《网络

上周三凌晨两点，网络我盯着屏幕上跳动的安全告警日志，发现核心交换机的排查一个端口在十分钟内反复up/down了十七次。这不是记录演习。那台设备下面挂着三个业务系统，表格任何一个掉线都够运维团队忙到天亮。网络我抓起手边的安全《网络安全排查记录表格》——其实是一张被咖啡渍染黄了的A3纸——开始逐项勾画。这张表救过我不止一次。排查

表格的记录第一栏永远是“物理层检查”。别笑，表格百分之三十的网络故障出在这里。去年某医院HIS系统瘫痪，安全排查了六小时防火墙策略，排查最后发现是记录保洁阿姨拔了机柜后面的网线去插吸尘器。所以我的表格表格里，“网线是否松动”后面跟着三个感叹号。具体到操作：用手电筒照光纤跳线的卡扣，听“咔哒”声，看交换机端口指示灯是否从橙色变绿。这些动作写不进标准文档，但管用。

第二栏是“流量基线比对”。每个网络都有它自己的呼吸节奏。我负责的园区网，工作日早九点出口流量稳定在340Mbps上下，波动不超过15%。如果某天突然跳到800Mbps，而业务部门没发通知说有大数据传输，那要么是中毒了，要么是有人在用迅雷下电影。表格里我留了一行空白，专门手写当天的异常峰值和对应时间戳。上周就是靠这个发现了一台被植入挖矿程序的测试服务器——它每天凌晨三点准时往外发2GB数据，持续了四天。

第三栏叫“日志交叉验证”。别只看防火墙的拒绝记录，那玩意儿一天能刷出几万条。把交换机MAC地址表、DHCP租约记录、DNS查询日志叠在一起看。我遇到过一起ARP欺骗：用户抱怨网速慢，防火墙日志干干净净。但DHCP记录显示同一个MAC地址在五分钟内申请了十二个不同IP，交换机端口对应的物理位置是会议室无线AP。后来查实是有人开了热点分享软件。表格里这一栏我画了个箭头，从“异常MAC”指向“物理端口”，旁边批注：“先查线，再查人。”

第四栏是“配置快照对比”。每次变更网络设备配置前，必须用TFTP把running-config导出来。表格里贴一张便签，写着“上次正常版本的时间戳”。上个月某次割接后，核心路由器OSPF邻居关系起不来，就是靠对比发现有人误删了一条area认证命令。恢复配置只用了九十秒，但找到这条命令花了四十分钟——因为表格里没记变更人。后来我加了一列“操作人签名”，哪怕只是改个描述。

表格最下面是“应急联系人”。不是那种印在手册上的400电话，而是具体到人的手机号：负责光缆熔接的老张、能远程重启UPS的小李、甚至机房所在大楼的物业电工。去年台风天，市电闪断，UPS切换失败，整层机柜断电。打物业电工电话没人接，最后是表格里记的“大楼配电房值班手机”救的场。那个号码我手写了三遍，怕墨水洇开看不清。

这张表现在贴在我工位隔板上，边角卷起，有些格子被透明胶带反复粘过。每次排查完，我会用红笔在对应项打勾，旁边写一句简短的结论，比如“光纤收发器老化，更换后正常”或者“疑似扫描行为，已封IP段”。半年下来，红笔字迹叠了七八层。新来的同事问为什么不录入电子系统，我说电子表格不会在凌晨三点告诉你“上次这个端口也闪过”。

网络安全排查不是做数学题，没有唯一解。但一张被翻烂的纸质表格能逼着你按顺序走完所有可能性，而不是凭直觉跳到“肯定是防火墙问题”。昨天又有人报故障，我拿起表格，从第一栏开始。这次是电源模块风扇卡了张纸片——表格里“设备散热检查”那行，我早就用荧光笔涂黄了。