按照要求重新配置了acl在不同的地方引用.
關(guān)鍵配置如下:
nat instance ndianxin
vpn-nat enable
add slot 4 master
nat address-group vdx x.x.x.136 x.x.x.143 vpn-instance dianxin
nat outbound 3101 address-group vdx
#
acl number 3001
rule 110 permit ip source 10.23.0.0 0.0.255.255
rule 120 permit ip source 10.59.0.0 0.0.255.255
rule 130 permit ip source 192.168.0.0 0.0.255.255
#
acl number 3101
rule 110 permit ip vpn-instance dianxin source 10.23.0.0 0.0.255.255
rule 120 permit ip vpn-instance dianxin source 192.168.0.0 0.0.255.255
#
traffic classifier c1 operator or
if-match acl 3001
traffic behavior b1
nat bind instance ndianxin

traffic policy p1
share-mode
classifier c1 behavior b1
 

1. 檢查設(shè)備是否有告警，子卡是否有損壞。
發(fā)現(xiàn)設(shè)備無(wú)告警且各單板注冊(cè)正常，排除設(shè)備硬件故障。
2. 檢查設(shè)備配置是否正確。
檢查AR2200的E1端口是否配置了接口的工作方式，是否與對(duì)端設(shè)備E1端口工作模式一致。檢查AR2200的端口配置如下：
#
controller E1 4/0/0
using e1
#
interface Serial4/0/0:0
link-protocol ppp
description shenzheng to shanghai
ip address 10.10.10.5 255.255.255.252
#
并且與對(duì)端設(shè)備網(wǎng)管人員確認(rèn)，對(duì)端設(shè)備與AR2200工作模式一致，且IP地址為10.10.10.6/30。
經(jīng)確認(rèn)設(shè)備配置正確。
3. 檢查E1線纜是否正常。
檢查E1線纜線序，發(fā)現(xiàn)線序?yàn)槠胀ňW(wǎng)線線序。E1線纜（120歐姆）外觀與普通網(wǎng)線相同.現(xiàn)場(chǎng)更換E1線纜（120歐姆）后，AR2200端口仍然未UP。
將AR2200的Serial4/0/0:1端口配置為與Serial4/0/0:0同樣的工作模式。用更換后的E1線纜將AR2200的Serial4/0/0:1與Serial4/0/0:0自環(huán)連接。發(fā)現(xiàn)設(shè)備的兩個(gè)端口均UP。這表明更換后的E1線纜是正常的。
4. 檢查DDF架接口。
將更換后的E1線纜插入DDF架的另外一個(gè)端口，AR2200的E1端口UP
通過(guò)逐段排查，發(fā)現(xiàn)由于客戶使用普通網(wǎng)線代替E1線纜，且客戶DDF架端口故障是導(dǎo)致本次故障的根因，更換E1線纜和插入正常DDF架端口后，設(shè)備端口UP，業(yè)務(wù)正常上線。

當(dāng)前接口配置如下：
#
interface GigabitEthernet0/0/0
ip address 192.168.108.136 255.255.255.0
#
return
AR在配置NAT映射時(shí)，公網(wǎng)IP不能與接口IP地址相同，否則會(huì)提示沖突，導(dǎo)致配置不上去。如果做全映射，至少需要申請(qǐng)兩個(gè)公網(wǎng)IP，一個(gè)配置在接口上，一個(gè)用于做全映射；如果只有一個(gè)公網(wǎng)IP時(shí)，可以做端口映射，公網(wǎng)IP使用current-interface參考代替，如下：
nat server protocol tcp global current-interface 80 inside 172.16.1.2 80 

　　將9512交換機(jī)兩個(gè)成員口重新加入到link-aggregation group中，網(wǎng)絡(luò)恢復(fù)正常。

1   user-interface vty  是否配置正確，檢查后發(fā)現(xiàn)正確，且只能配置  user-interface vty 0 4
2  檢查設(shè)備device ，是否有設(shè)備硬件信息不正常，結(jié)果都是Normal的
3  dis users 檢查用戶
4  重新配置一遍 user-interface vty 0 4，刪掉在配置，也還是不行
5 把  user-interface vty 0 重新釋放，free  user-interface vty 0 ，結(jié)果能telnet了

這種型號(hào)的IP話機(jī)發(fā)出的數(shù)據(jù)包是不帶TAG的，采用MAC-VLAN的方式：
 vlan 6
 mac-vlan mac-address xxx-xxx-xxx //the mac-address of IP話機(jī)
 interface Ethernet0/0/12
 port hybrid untagged vlan 4 6  //add 6 to untag vlan
 mac-vlan enable

如此修改后，連接S2300交換機(jī)的IP話機(jī)能獲取到了vlan6對(duì)應(yīng)的接口的IP地址，并能正常呼叫，同時(shí)PC也能獲取到了vlan4對(duì)應(yīng)的接口的IP地址。

啟用了WDS功能后，無(wú)線客戶端也就無(wú)法掃描到?jīng)]有名稱(chēng)的SSID了。

對(duì)用戶PC殺毒，網(wǎng)關(guān)開(kāi)啟防假冒網(wǎng)關(guān)攻擊功能。
在S9300上配置防網(wǎng)關(guān)沖突功能arp anti-attack gateway-duplicate enable，ARP網(wǎng)關(guān)沖突防攻擊功能使能后，系統(tǒng)生成ARP防攻擊表項(xiàng)，在后續(xù)一段時(shí)間內(nèi)對(duì)收到具有相同源MAC地址的報(bào)文直接丟棄，這樣可以防止與網(wǎng)關(guān)地址沖突的ARP報(bào)文在VLAN內(nèi)廣播。

1.檢查交換機(jī)配置無(wú)問(wèn)題.
2.關(guān)閉了S9706上其他端口直接用PC 掛在S9706 端口上仍然無(wú)法獲取IP地址,更換PC 故障現(xiàn)象一樣.
3.在S9706 交換機(jī)上DEBUG DHCP 報(bào)文,PC 已經(jīng)發(fā)送了DHCP discover報(bào)文， 但是S9706 交換機(jī)無(wú)DHCP  offer  回應(yīng)報(bào)文.
4.檢查S9706 交換機(jī)IP 地址池使用情況發(fā)現(xiàn)地址池已經(jīng)被全部分配完畢. 并且分配的IP 地址的MAC 地址完全一樣,判斷是交換機(jī)軟件版本BUG 導(dǎo)致, 刪除配置DHCP 的三層接口,重啟交換機(jī)后正常.