问题是什么
能访问内网资源却打不开外网，说明到网关这一层通常是通的，问题多集中在默认网关、DNS 解析或出口策略上。按“网关→IP 连通→域名解析→代理与出口白名单”的顺序排查，可以快速把范围收敛到某一层。
为什么要先 ping 公网 IP
ping 域名会同时验证解析与连通两件事，一旦失败无法判断坏在哪一步。先 ping 一个公网 IP 绕过 DNS：通说明问题在解析，不通说明问题在网关或出口，这一步把可能性直接砍成两半。
基本信息
| 适用平台 | Windows 7/10/11 与各版 Server，所用命令均为系统内置 |
|---|---|
| 排查顺序 | 默认网关 → IP 连通 → DNS 解析 → 代理与出口策略 |
| 关键命令 | ipconfig /all、ping、nslookup、Test-NetConnection、netsh winhttp show proxy |
| 判断准则 | ping IP 通而域名不通是 DNS 问题；ping 网关不通则是二层或本机配置问题 |
典型使用场景
- 员工反馈能上内网 OA 但打不开外部网站
- 新装机或调整网段后部分外部服务不可达
- 代理策略变更后快速验证直连与代理两条路径
- 判断是 DNS 服务器不可达还是上级链路故障
- 确认 IPv6 优先导致的“时通时不通”
常用示例
常用示例
ipconfig /all # 查看网关、DNS 与 DHCP 下发情况
ping 10.0.0.1 # 网关是否可达
ping 8.8.8.8 # 绕过 DNS 验证出口连通性
nslookup www.baidu.com 8.8.8.8 # 指定 DNS 测试解析
Test-NetConnection 8.8.8.8 -Port 443 # 验证具体端口的可达性
netsh winhttp show proxy # 检查系统代理与出口策略分层排查读法
| 层级 | 验证方法 | 典型结论 |
|---|---|---|
| 默认网关 | ping 网关地址 | 不通则查本机配置或二层链路 |
| IP 连通 | ping 公网 IP | 不通则查路由、出口与防火墙 |
| DNS 解析 | nslookup 域名 | 失败则查 DNS 服务器与解析策略 |
| 代理设置 | netsh winhttp show proxy | 直连超时可能属于策略要求 |
| 端口可达 | Test-NetConnection -Port | 区分是网络不通还是端口未放行 |
ping 公网 IP 绕过 DNS，是区分“网络断”与“解析坏”的关键一步；跳过这一步，后面的排查容易在错误方向上打转。
受限网络常只放行代理出口，直连超时可能属正常策略，此时应验证代理配置而不是怀疑链路。