网页打不开，先从哪儿看

以前遇到打不开，我的动作是登服务器、看进程、翻日志。折腾二十分钟，可能才发现域名根本没解析到这台机器。

后来我把检查顺序固定下来：解析、端口、HTTP、证书，最后是页面本身。每站只回答一个问题，答完再决定往不往下走。

第一站：域名解析到哪了

先确认 A 或 AAAA 记录存在，指向的 IP 对不对，各地解析结果是否一致。

这一步最容易发现低级错误：记录被改过、域名到期、CNAME 指向了下线的地址。用多地区多运营商节点查，还能看出是不是区域性的解析异常。

解析不对，后面全都不用看，先解决它。

宝塔拨测控制台：定时拨测任务、节点与告警配置

宝塔拨测控制台：定时拨测任务、节点与告警配置

第二站：端口通不通

解析正常，就看目标端口能不能连上。TCP 探测走握手，不依赖 ICMP，服务器禁 ping 也不影响。

所有节点超时，往安全组、防火墙、服务进程上查；只有部分节点通，偏线路和区域策略。

握手耗时顺带能看出链路质量，跨运营商差异大，往往意味着线路选得不够好。

端口开着也不代表能用。服务可能假死：握手成功，但迟迟不返回数据，这种情况得靠后面的 HTTP 层才能看出来。

第三站：HTTP 返回了什么

这一站信息最多。在宝塔拨测的控制台看状态码，先分清是成功、跳转、拒绝还是服务端错误。

然后把五段耗时拆开：DNS、TCP、TLS、TTFB、下载。哪一段占大头，问题就在哪一层。

再看节点分布。所有节点同样的错误，是全局问题；只有某个运营商或地区不对，是局部问题。平均、最快、最慢一起看，别被平均值骗了。

第四站：证书有没有问题

状态码正常、页面能开，也不代表 HTTPS 配置没问题。证书过期、域名不匹配、证书链不完整，都可能只在部分客户端上报错。

这一站看三样：有效期、覆盖域名、链是否完整。浏览器正常但 App 报错，十有八九是链的问题。

还有一种更隐蔽：证书本身没错，但服务端只支持老协议，新客户端连不上，在结果里就表现为握手失败。

最后一站：让它一直盯着

前面四站是排障时走的。故障修完，把关键检查项配成定时任务，按周期从多个节点跑，状态码、响应时间、证书到期有异常就告警。

这样平时不用天天手动测，出事时又能立刻拿出一份带时间、带地区的结果。

告警阈值别照抄别人的。你的站平时是什么水位，只有自己的历史数据说得清。

一条路线走顺了，排查就不再靠运气。顺序稳定，结论才稳定。