网络故障排查先确认范围和现象：单个用户还是全体、特定域名还是所有服务、完全超时还是返回错误、何时开始以及最近变更。按层收集证据，避免把“ping 不通”直接等同于网站故障。

1. 本机与链路： 检查网卡、Wi-Fi、有线连接、代理/VPN、路由器和本机防火墙。先确认其他目标是否可访问。
2. DNS： 用 nslookup/dig 查看域名解析结果、记录类型和解析器；必要时对比不同解析器。域名解析正确仍不代表目标服务可达。
3. 路由与地址： 检查 IP、掩码、默认网关和路由表；对目标 IP 做有限探测。ICMP 超时可能是过滤策略，不能单独定性。
4. 传输层： 检查目标端口能否建立 TCP 连接，例如使用 curl -v 或系统端口连通工具。超时、拒绝连接、连接后重置代表不同阶段的问题。
5. TLS 与 HTTP： 查看证书域名、有效期、信任链、协商结果和 HTTP 状态码/响应头。区分 TLS 握手失败、代理错误和应用返回的业务错误。
6. 服务端链路： 检查 CDN、负载均衡、反向代理、应用日志和依赖服务；用请求 ID、时间戳和节点信息关联日志。对比健康节点和故障节点。

命令输出只代表特定时间、网络和探测协议下的结果。报告故障时保留目标地址、解析结果、端口、时间、错误文本和复现步骤，避免把敏感 Token 或个人数据贴进日志。

一个实用的判断顺序是把失败点定位到“解析前、本机出站、路由途中、TCP 建连、TLS 握手、HTTP 网关、应用处理”之一，再请对应系统所有者看日志。多次测试需保持相同请求并记录时间，避免缓存、负载均衡和 DNS 多地址轮询造成结果不一致。变更配置前保存原始结果，便于回滚并比较。