先分清三种不通
已经连上 Wi-Fi 并拿到地址却上不了网，先做一次三分钟的分类：能不能通网关、能不能通公网 IP、能不能解析域名。连网关都不通，问题在本网段，多为 VLAN、掩码、网关配置或端口隔离；通网关但通不了公网 IP，问题在出口链路、NAT 或防火墙策略；能通 IP 但域名解析失败，问题在 DNS 服务器或解析策略。三类问题的责任方完全不同，分开之后排查路径立刻清晰。
三类不通的指向
| 类型一 | 连网关都不通，指向 VLAN、掩码、网关配置或本网段隔离 |
|---|---|
| 类型二 | 通网关不通公网 IP，指向出口链路、NAT 与防火墙策略 |
| 类型三 | 通 IP 不通域名，指向 DNS 服务器与解析策略 |
| 常见干扰 | 连错了 SSID 或 VLAN，访客与员工网络的策略差异极大 |
| 取证要点 | 记录 IP、掩码、网关、DNS 与失败的具体目标地址 |
按序验证
按序验证
ipconfig /all # Windows：确认 IP、掩码、网关、DNS
ping 网关地址 # 第一步：本网段是否可达
ping 223.5.5.5 # 第二步：外网连通性，不依赖 DNS
nslookup 域名 223.5.5.5 # 第三步：指定公共 DNS 测试解析
# 三步分别失败，对应三类完全不同的问题现象与下一步
| 现象 | 指向问题 | 下一步 |
|---|---|---|
| 拿到 169.254 地址 | DHCP 未响应 | 查地址池、VLAN 与中继配置 |
| 网关 ping 不通 | 本网段或隔离策略问题 | 核对 VLAN、掩码与端口隔离 |
| 网关通、公网 IP 不通 | 出口或策略问题 | 检查 NAT、路由与防火墙 |
| IP 通、域名不通 | DNS 问题 | 检查 DNS 下发与解析策略 |
| 部分网站通 | 域名解析或策略分流 | 对比解析结果与访问策略 |
典型使用场景
- 员工反馈「有 Wi-Fi 没网」：快速分流到正确责任方
- 访客网络投诉：区分策略限制与真实故障
- 新部署 VLAN 上线验证：确认地址与出口策略生效
- Portal 认证场景：确认是认证未完成还是链路不通
- 跨地域办公：定位是本地网络还是总部出口问题
容易误判的三种情况
第一，操作系统的联网探测失败会显示「无 Internet」，但业务流量可能完全正常，这种提示不能作为断网证据，必须用真实业务验证。第二，访客网络通常禁止访问内网网段，拿内网地址去探测内网服务失败属于策略正常生效，而不是故障。第三，部分终端在切换 SSID 或漫游后仍带着旧网段地址，表现为间歇性不通，此时重现一次获取地址的过程往往就能恢复。这三类情况都会让排查方向偏离，先用 ping 与地址信息确认事实，再下结论。
无线场景要先排除「连错了 SSID 或 VLAN」：访客网络与员工网络的不通策略常常完全不同。
169.254 开头的地址说明终端没有拿到 DHCP，属于地址阶段失败，不要按出口或 DNS 问题排查。