能ping通域名，网站但浏览器打不开网页——这个故障我遇到过不下二十次。网站上周同事又碰上了：命令行里ping www.example.com返回四个包，网站延迟稳定在20ms，网站TTL 54，网站丢包率0%。网站他转头跟我说“网络没问题”，网站然后继续对着Chrome的网站“无法访问此网站”发呆。问题恰恰出在这个“没问题”的网站判断上。

ping走的网站是ICMP协议，它只验证一件事：你的网站机器到目标IP的IP层通路是否正常。它不关心TCP端口是网站否开放，不关心TLS握手能不能完成，网站更不关心HTTP请求发出去之后对方返回什么。网站换句话说，网站ping通只证明“路通了”，不证明“门开了”。

最常见的坑是DNS解析异常。ping一个域名时，系统会先做DNS查询拿到IP，然后发ICMP包。如果DNS返回了一个错误的IP——比如CDN节点故障、本地DNS缓存污染、或者hosts文件被改过——ping照样能通，因为那个IP确实在线，只是它压根不提供你要访问的Web服务。我见过最离谱的一次，某公司内网DNS把www.baidu.com解析到了一个内部测试服务器的IP，ping延迟只有1ms，大家还夸网络快，实际上那个服务器只跑了一个SSH服务，80端口根本没监听。

另一种情况：ping通的是IP，但网站配了多个域名。你ping example.com拿到IP A，浏览器访问的却是www.example.com，而后者解析到IP B，IP B恰好挂了。命令行里手动ping www.example.com试试，很可能直接超时。

TCP层的问题更隐蔽。ICMP能通，不代表443或80端口开放。防火墙完全可以放行ICMP而封禁TCP。我调试过一台云服务器，安全组规则里只加了ICMP，忘了加HTTPS。ping完美，curl直接Connection refused。用telnet 目标IP 443或者nc -zv 目标IP 443一测便知。Windows上可以用Test-NetConnection，一条命令同时看ping和端口。

代理设置是另一个高频雷区。系统代理配了一个已经下线的代理服务器，浏览器所有请求都往那个死胡同里送。ping命令不走代理，所以通。浏览器走代理，所以挂。Chrome里访问chrome://net-internals/#proxy能直接看到当前生效的代理配置。关掉代理再试，十有八九就恢复了。

还有一类情况跟网络无关：浏览器本身的问题。DNS预读取缓存、SSL状态缓存、甚至某个扩展程序拦截了请求。开一个无痕窗口，或者换Edge/Firefox交叉验证。如果无痕能打开，那就是扩展或缓存的问题。清除chrome://net-internals/#dns和#sockets里的缓存，重启浏览器。

MTU值不匹配也会导致这种症状——小包能通，大包被丢弃。ping默认发32字节的小包，当然通。试试ping -l 1472 -f 目标IP（Windows）或ping -s 1472 -M do 目标IP（Linux），如果提示需要分片或直接超时，说明路径MTU有问题。PPPoE环境常见，把本机MTU从1500调到1492或1400往往能解决。

排查顺序我一般这样走：先nslookup确认解析对不对，再telnet测端口通不通，然后检查系统代理，接着换浏览器无痕模式，最后才怀疑MTU和路由策略。每一步都能把问题范围缩小一半。别被ping通迷惑，它只是一个起点，不是结论。

(责任编辑：焦点)