内网能通而外网Ping不通服务器，绝大多数情况下不是链路故障，而是路由或防火墙策略在三层边界上做了拦截。坐拥同一台交换机、同一段私有网段，PC到网关、到核心交换都通，偏偏发往服务器公网IP的ICMP请求石沉大海，这不是服务器“死了”，而是数据报文根本没走到服务器那张网卡上，下面把排查路径拆开，按层剥洋葱。
排查第一层：ARP与物理链路是否“假通”
许多运维一上来就ping网关，发现通了就急着往上层查，但注意，内网通只是二层的“邻居关系”好，不代表三层转发链路是干净的。先确认ARP表没有异常
在服务器上执行`arp -a`，检查网关IP对应的MAC地址是否与核心交换机实际接口的MAC一致，如果出现重复MAC、网关MAC漂移，多半是有人私接小路由器、开启了dhcp-snooping未覆盖的区域，导致ARP欺骗，这种情况最迷惑：PC端ping网关延迟极低，但报文到了网关后被丢进黑洞，因为网关设备在出接口上找不到正确的下一跳MAC。再查服务器网卡双工模式与丢包统计
用`ethtool eth0`查看网卡速率和双工模式，出现`Duplex: Half`就需要警惕了，半双工在百兆以上链路里会造成大量冲突帧，平时看流量小发现不了，一旦有跨网段的连续ping，延时就会剧烈抖动甚至完全丢弃，再配合`ip -s link`看`dropped`和`errors`计数，有持续增长就说明物理层确实存在不稳定因素。多数情况下,到这里已经能排除掉局域网内部干扰，如果ARP干净、网卡也没报错，那问题基本就集中在防火墙策略和路由表上——这是内网通但ping不通服务器最经典的分水岭。
防火墙策略：最容易被忽略的“隐形拦截器”
防火墙不回ICMP，是这类故障最常见的原因，很多网络管理员有个思维惯性：内网通 = 安全策略没问题，但企业级防火墙默认就丢弃所有未显式放行的流量，别说跨公网IP访问，有时候内网互访也在第三条规则上被拦住。先看服务器本机防火墙
以Linux为例，执行`iptables -L -n -v`查看INPUT链和FORWARD链，注意，服务
更要查上联防火墙的安全策略
如果服务器放在IDC机房，流量不会直接进服务器，而是先过机房出口的硬件防火墙或安全设备，这时候只查服务器本机是不够的，登录防火墙设备，检查业务所在的安全域、源地址到目的地址的访问控制列表（ACL），特别注意以下几类规则陷阱： - **规则顺序问题**：防火墙策略是匹配到即生效，如果前面有一条`deny ip any any`，后面再放行的规则也没用。 - **ICMP单独被过滤**：有些策略可能放行了TCP和UDP，但ICMP参数在对象组里被单独deny了。 - **多WAN口回程路由不一致**：服务器访问外网走的是电信出口，而你ping的源地址却被防火墙识别成联通出口回程，不对称路由下，服务器即使回了包也走不到你手里。拿一条真实案例来类比：某公司分部通过VPN拨号到总部，分部内网PC能访问总部OA系统，但ping总部服务器不通——因为总部防火墙策略里放行了TCP 443，但ICMP协议没放行，这种现象在跨地域组网时很常见，尤其当网络出口是云上VPC或者托管机房的硬件网关时，控制台里“允许Ping”这个开关经常被人遗忘。
策略放行的标准动作
如果想验证是不是防火墙在拦，最直接的方法是在服务器上用`tcpdump -i eth0 icmp`抓包，如果服务器网卡上完全抓不到来自你本机的ICMP请求，说明报文根本没到达服务器，问题出在上层防火墙或路由转发；如果抓到了请求但回包发不出去，重点查路由回程，这一步能精确定位问题所在，避免反复瞎试。路由策略与下一跳的“黑洞效应”
防火墙放行了、服务器也允许Ping了，还是不通，就得看路由器怎么选路，内网通意味着你的PC到边界的路由没问题，但边界出口到服务器这段路径可能有黑洞。
策略路由和负载均衡设备也可能抢答
如果网络里串接了负载均衡器、上网行为管理设备，它们在透明模式下不会影响路由，但在路由模式下就完全看自己的选路策略了，尤其是针对多运营商BGP接入的机房，出口设备会根据源IP地址选路，有些策略会把目的IP为特定段的流量引入一条不可达的链路，这种问题很难凭直觉定位，建议逐跳做`tracert -d`，看每一跳的延迟和丢包率在哪里开始出现转折，Windows下用`tracert -d 服务器IP`，Linux下用`traceroute -n 服务器IP`，看到某一跳IP后一直超时，基本就锁定了故障设备。路由表里还有一张“特殊表”
如果核心交换机和服务器都在同一个三层段，服务器上查看`route -n`，确认有没有`/32`主机路由把去往公网网关的流量指向了错误网关，某些安全加固脚本会在服务器上添加默认路由的优先级调整，导致本机发出的ICMP请求被送到一个不可达的下一跳，这里没什么窍门，逐条核对路由表才是最可靠的。Hosts解析与“公网IP被NAT”的暗坑
还有一种情况比较隐晦：内网PC能ping通服务器的内网IP，但Ping公网IP不通，原因可能是服务器出口经过了源地址转换，或者公网IP实际映射在防火墙的外部接口上。公网IP是映射IP，而不是服务器直连IP
云服务器尤其是NAT模式（如AWS、阿里云的VPC NAT网关），公网IP并不直接挂在服务器网卡上，而是由网关做一对一映射，这种情况下，外网ping的是网关地址，需要确保网关允许ICMP，IDC物理机则不同，需要确认机房是否在交换机端口上做了`nat server`或IP映射，如果服务器本身配的是公网IP，但网关设备绑定了VRRP虚拟IP，那vIP策略没放行ICMP的话，也会出现“内网通、公网不通”的现象。
网友评论