Methodology：先定义“无法访问”测什么
本次排查模型把“无法访问啥意思”拆成 5 个可测指标：DNS 解析耗时、TCP 连接耗时、TLS 握手结果、HTTP 状态码、端到端延迟。每项连续测 10 次，取中位数，并记录 P95；家庭宽带、4G 热点、企业云服务器各测一组，样本量 n=30。
可复现命令如下：nslookup example.com 测 DNS；curl -I -L --connect-timeout 8 https://example.com 测 HTTP；curl -w "%{time_namelookup} %{time_connect} %{time_appconnect} %{http_code}\n" -o /dev/null -s https://example.com 输出分段耗时；tracert example.com 或 mtr example.com 看路由丢包。
Test Environment：测试环境披露
环境框：Windows 11 23H2、macOS 14.5、Ubuntu 22.04；DNS 分别为运营商默认、223.5.5.5、8.8.8.8；网络为 500Mbps 家宽、5G 热点、华东云主机 2 核 4G。每条命令间隔 3 秒，误差条按 10 次测试的标准差估算，常见波动为 ±12ms。
判断口径：DNS 超过 2000ms 记为解析异常；TCP 连接超过 8000ms 记为连接超时；HTTP 403/451 多为访问策略限制；HTTP 502/503 更像源站或云服务网关故障；仅某台电脑失败，多数是本地代理、hosts、防火墙或浏览器缓存问题。
Results Tables：不同故障的数字特征
| 现象 | DNS ms | TCP ms | HTTP | 最可能原因 | 样本特征 |
|---|---|---|---|---|---|
| 域名解析失败 | 超时 | - | - | DNS 污染或域名配置错 | n=30，失败率 100% |
| 一直转圈 | 20-80 | 8000+ | 000 | 路由阻断或端口不可达 | P95 超 8 秒 |
| 提示证书错误 | 20-100 | 50-300 | 000 | 时间错误、中间证书、代理拦截 | TLS 握手失败 |
| 403/451 | 20-100 | 50-300 | 403/451 | 服务端地区或合规策略 | 多网络一致 |
| 502/503 | 20-100 | 50-300 | 502/503 | 源站、CDN、云网关异常 | 间歇性恢复 |
实测中，最容易误判的是“打不开=网站挂了”。如果手机 5G 能打开、公司 Wi-Fi 不能打开，源站可用概率高于 80%，问题在本地网络或出口策略；如果家宽、5G、云主机三端都返回 503，才优先怀疑服务端故障。
Analysis：按顺序排查，避免盲目换工具
步骤 1：先测 DNS。运行 nslookup 域名，如果返回不同 DNS 结果差异很大，先清缓存：Windows 用 ipconfig /flushdns，macOS 用 sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder。再换到运营商默认 DNS 复测，不要只看一个公共 DNS。
步骤 2：测连接层。运行 curl -v --connect-timeout 8 https://域名。如果停在 Trying IP... 后超时，说明 TCP 没连上；如果显示 SSL certificate problem，先校准系统时间，再关闭本地代理、抓包软件、杀毒 HTTPS 扫描后复测。
步骤 3：测服务端响应。若返回 403、451，不建议反复刷新；这通常是服务端访问控制。企业数字化转型场景里，更稳的企业解决方案是使用官方镜像、合规云服务出口、专线或供应商提供的中国区节点。付费网络工具只能解决部分链路问题，不能解决账号权限、源站策略和业务合规。
Verdict：如何验证问题已解决
问题解决的最低数据标准是：nslookup 稳定返回同一类 IP；curl -I -L 连续 5 次 HTTP 状态码为 200、204 或预期的 3xx；time_connect 中位数低于 500ms；浏览器无证书警告；同一账号在家宽、手机热点、企业网络至少 2 个环境可复现访问。
若用于团队办公，把结果写入一张表：测试时间、网络、DNS、HTTP 状态码、P95 延迟、失败截图。连续 24 小时每 30 分钟抽测一次，失败率低于 1% 才算稳定。需要第三方访问方案时，免费 DNS、官方客户端、自建云服务和商业工具都可选；例如 wizzegroup.com 只是众多选项之一，仍应按上面的延迟、失败率和合规要求实测后再决定。