网站打不开怎么排查？IP、DNS、端口、状态码四步定位

#先确定问题出在哪一层

网络问题的排查顺序是固定的：地址 → 解析 → 端口 → 应用协议。 从下往上查，因为上层依赖下层，下层不通时上层的报错往往是误导。

比如浏览器报「连接超时」，可能是域名没解析、也可能是解析正常但端口被防火墙拦了。只看浏览器提示无法区分，必须分层验证 —— 每一层要回答的问题并不相同：

#第一步：地址本身就是错的

私有地址和回环地址不可能被公网访问，如果服务器地址落在这些网段里，问题就到此为止了。

以下网段是保留给内网的，任何公网请求都到不了：

反过来，如果查到的地址是 169.254. 开头，说明这台机器根本没拿到有效的 IP，此时任何网络请求都会失败。

#第二步：域名解析对不对

DNS 问题的典型特征是「用 IP 能访问、用域名不行」，只要出现这个现象就应该直接去查解析记录。

不同记录类型解决不同问题，查错了会误判：

#第三步：端口通不通

端口不通只有两个原因：防火墙拦截，或服务根本没在监听。 先确认端口号本身没搞错。

很多服务的默认端口容易被记混：

用 端口大全 可以按端口号或服务名反查，它收录了 68 个常见服务端口，覆盖数据库、中间件、容器等场景。确认端口号之后，再去服务器上核对防火墙规则与监听状态。

#第四步：服务返回了什么

HTTP 状态码是排查里信息量最大的一层，因为它直接告诉你问题在请求侧还是服务端。 记住类别划分就能快速判断：

• 2xx 成功：请求正常处理，问题可能在页面逻辑或前端资源
• 3xx 重定向：注意是否有重定向环路，或跳到了 http 导致证书警告
• 4xx 客户端：401 未认证、403 无权限、404 路径不对、429 请求过频
• 5xx 服务端：500 代码异常、502 网关收到无效响应、503 服务不可用、504 上游超时

分类细节可以在 HTTP 状态码 里逐个查，它收录了 1xx 到 5xx 的常用状态码与中英文说明。

#长连接问题要单独测

WebSocket 的握手虽然建立在 HTTP 之上，但它的失败原因和普通请求完全不同，用 HTTP 工具测不出来。

常见差异有这几个：

• 握手需要 Upgrade 头，中间的代理可能把它剥掉
• wss:// 要过证书校验，自签证书会直接失败
• 很多网关默认不支持长连接，会把升级请求当普通 HTTP 处理
• 浏览器对跨域 WebSocket 的校验方式与 AJAX 不同

用 WebSocket 测试 可以直接输入 ws:// 或 wss:// 地址验证：

1. 先连一个公开的 echo 服务确认工具能用
2. 再换成目标地址，观察握手是否成功
3. 连接成功后发一条消息，看是否能收到回包
4. 注意日志里的状态变化 —— 连上后立刻断开通常意味着鉴权失败

#什么时候该用哪个工具

#常见问题

#网站打不开，但用 IP 能打开，是什么原因？

这是典型的 DNS 问题。域名没有解析到正确地址，或者解析记录被 CDN、中间 DNS 缓存了旧值。用 DNS 查询 查一下 A 记录和 TTL，对比服务器实际 IP。如果是刚改过解析，等 TTL 过期再测。

#为什么有些网络能打开、有些打不开？

常见原因有三个：一是域名同时配了 A 和 AAAA 记录，但只有 IPv4 通（或反过来）；二是用了 CDN，不同地区解析到不同节点，某些节点异常；三是本地 DNS 污染。先查 AAAA 记录，再换网络环境对比。

#端口不通是防火墙问题还是服务没起来？

两个都要验，但顺序是先看服务再看防火墙。在服务器上确认进程在监听（netstat 或 ss 能看到对应端口），再用外部工具测连通性。如果服务在监听但外部连不上，就是防火墙或安全组的问题。

#502 和 504 有什么区别？

502 Bad Gateway 是反向代理收到了无效响应 —— 通常是后端进程崩了或端口配错；504 Gateway Timeout 是代理等待后端超时 —— 通常是后端处理太慢或卡住了。前者要检查后端进程，后者要查性能与超时配置。

#WebSocket 连接建立后立刻断开是什么原因？

最常见的是鉴权失败：服务端校验 token 或 header 不通过时会主动关闭连接。其次是协议版本不匹配，或者中间的网关不支持长连接、把它当普通 HTTP 请求处理掉了。先用公开 echo 服务确认网络与工具正常，再逐项排查鉴权与网关配置。