ping 通不代表网站能打开

有段时间我最怕这种反馈：用户说网站打不开，我 ping 一下域名，通的，随口回一句「网络没问题」。后来被反复打脸才明白，ping 只验证了到那个 IP 的 ICMP 可达，后面的 TCP 端口、TLS 握手、HTTP 处理，它一个都没测。

主机活着，服务不一定活着；IP 通，端口不一定通。这是两个层次的事。

先分清是哪种超时

测速结果里的「超时」其实分好几种。连接超时，是 TCP 握手阶段没有回应；TLS 握手失败或超时，是连上了但加密协商没完成；请求发出去了却等不到响应，往往是应用层卡住；还有一种状态码直接返回 5xx，那不是超时，是后端报错。

这几种在结果里的表现不同，处理方向差得很远。看到超时两个字就急着换服务器，通常只会白忙。

五段耗时就是断点位置

用宝塔拨测的网站测速跑一次，DNS、TCP、TLS、TTFB、下载五段分开看：DNS 之后全空，多半是解析或 IP 不对；卡在 TCP 段，是端口、防火墙或安全组；TCP 通了、TLS 断，是证书和加密协商；TLS 也通但 TTFB 一直等不到，问题在应用层。

能走到哪一段，就等于排除了它前面的所有环节。这比在服务器上一条条翻规则快得多。

小包通、大包不通的情况

ping 默认发的包很小。链路上如果有 MTU 问题，小包能过，TLS 握手那种稍大的包可能被丢掉，表现出来就是 ping 正常、HTTPS 打不开。

这类问题有个特征：不同节点结果不一致，离得近的正常，跨线路的失败。按运营商和地区分组看，能看出是不是集中在某些链路上。

还有一种相似的情况是 IPv6。域名同时有 A 和 AAAA 记录时，IPv6 路由不通，也会出现 IPv4 ping 正常、走 IPv6 的请求一直超时的现象，排查时别只看一个协议。

用节点和复测确认范围

单节点超时，先怀疑那个节点自己的网络；多个地区、多个运营商同时超时，才轮到源站和安全策略。宝塔拨测的多地区多运营商节点，正好用来做这个区分。

再连测两三次。每次都卡在同一段，是稳定故障；这次 TCP 断、下次 TLS 断、偶尔又正常，更像丢包、限速或者防护设备在拦。

我现在的排查顺序

先确认 ping 通的是不是同一个 IP，排除解析问题；再看测速结果卡在第几段；然后按运营商和地区分组，判断是全局还是局部；靠复测确认稳定性。ping 只能算一条线索，真不能当结论用。