十步清单是什么
「上不了网」的报障信息通常只有一句话，按固定清单从本机走到公网，十步之内就能定位到断在哪一环。清单的价值在于顺序：先确认设备自身没问题，再确认能不能到网关，接着是能不能到公网 IP，最后才是域名解析与应用实测。第 ②、④、⑤ 步经常被跳过，但它们决定了后面所有判断是否可信——地址是错的、网卡不转发，后面测什么都会失败。
基本信息
| 适用 | 终端或服务器表现为无法访问互联网 |
|---|---|
| 执行顺序 | 本机 → 网关 → 公网 IP → 域名 → 应用 |
| 分水岭 | 第 ⑦ 步：公网 IP 能通，说明网络基本正常，问题在 DNS 或应用 |
| 留证 | 每一步的输出与时间点都保存，便于交班与升级处理 |
| 平台差异 | Linux 用 ip/dig/curl，Windows 用 ipconfig /all、nslookup、Test-NetConnection |
十步排查清单
- ① 本机物理：网口指示灯或 Wi-Fi 状态，是否连到正确的 SSID
- ② 本机地址：IP、掩码、网关、DNS 是否与所在网段匹配
- ③ 回环自检：ping 127.0.0.1，证明协议栈正常
- ④ 本机 IP 自 ping：证明网卡收发正常，失败多半是驱动或网卡问题
- ⑤ 网关可达：ping 网关 IP，再用 arping 验证二层能否解析网关 MAC
- ⑥ DNS 可用：dig 一个域名，看是超时还是返回错误码
- ⑦ 公网 IP：ping 8.8.8.8，跳过域名解析直接测通路
- ⑧ 域名解析：dig +short 一个知名域名，验证解析结果正确
- ⑨ 出口路径：traceroute -n 看断在第几跳
- ⑩ 应用实测：curl -v 访问一个网站，读具体报错
一键打点脚本
一键打点脚本
ip -br a; ip route # 地址、掩码与默认网关
ping -c2 127.0.0.1 # 回环自检，先证本机协议栈
ping -c2 "$(ip route | awk '/default/{print $3; exit}')" # 网关可达性
arping -c 2 -I eth0 <网关IP> # 二层验证：网关 MAC 能否解析
ping -c2 -W2 8.8.8.8 # 公网 IP：分水岭
ping -c2 -W2 223.5.5.5 # 换一组公网地址复测，排除单点 ICMP 限制
dig +short +time=2 +tries=1 <域名> # 域名解析是否正常
timedatectl show -p NTPSynchronized # 时间不同步会让证书校验失败
curl -sI --connect-timeout 3 <URL> # 应用层收口，看状态码各步失败的含义
| 步骤 | 失败表现 | 指向 |
|---|---|---|
| 本机地址 | 拿到 169.254 开头的地址或与网段不符 | DHCP 未获取到地址或静态配置错误 |
| 回环与自 ping | 回环也不通 | 本机协议栈或驱动异常，先修本机再谈网络 |
| 网关 | ping 网关不通但 arping 通 | 网关设备禁回 ICMP 或三层配置问题 |
| 公网 IP | 网关通、公网 IP 不通 | 出口设备、NAT、路由或上游链路问题 |
| 域名解析 | IP 能通、域名解析失败 | DNS 服务器不可达或配置错误 |
| 应用层 | 端口能通但 HTTPS 报错 | 证书、代理、系统时间或应用侧故障 |
| 策略层 | ping 通但业务端口连不上 | 主机防火墙、安全组或应用未监听 |
第 ⑦ 步是分水岭：公网 IP 通说明网络层基本没问题，接下来的怀疑对象只有 DNS 与应用；公网 IP 不通则继续走第 ⑨ 步看路径断在哪一跳，把结论交给对应责任方。
影响范围决定排查方向：只有一台终端不通先怀疑本机；同网段多台不通则查交换与网关；多个网段同时不通查出口与上游；只有某个域名或某个应用不通，直接跳到解析与应用层。
跨平台对照：Windows 上用 ipconfig /all 看地址与网关，ping 127.0.0.1 与网关，nslookup 测解析，tracert 看路径；macOS 与 Linux 基本一致，把命令换成系统自带等价工具即可。