Linux网络异常需按五层逻辑排查：一、基础连通性（回环→网卡→网关→DNS）；二、路由路径追踪（traceroute/mtr）；三、端口服务检测（nc/telnet/ss）；四、DNS深度核查（resolv.conf/dig/nslookup）；五、防火墙审查（firewalld/iptables）。
当Linux服务器出现网络异常，如无法访问外部服务、响应延迟或连接中断时，需按层次化逻辑快速定位问题根源。以下是系统化的排查流程与常见问题定位思路：
一、基础连通性验证
该步骤用于确认网络协议栈是否正常工作，从本机回环开始逐层向外验证，排除本地配置或链路层故障。
1、执行本地回环测试：运行 ping -c 4 127.0.0.1，确认TCP/IP协议栈初始化正常。
2、检查本机网卡IP与状态：运行 ip addr show，核实主网卡是否UP且已分配有效IPv4地址。
3、测试默认网关连通性：先提取网关IP（ip route | grep default | awk '{print $3}'），再对该IP执行 ping -c 4。
4、验证DNS解析能力：分别执行 ping -c 4 8.8.8.8 和 ping -c 4 baidu.com，对比结果判断是IP层连通问题还是DNS解析失败。
二、路由路径追踪分析
当能通网关但无法到达目标主机时，需确认数据包是否能正确经过中间网络节点，识别路径中断点或高延迟跳数。
1、使用 traceroute baidu.com 查看完整路径，注意各跳的响应时间及星号（*）标记。
2、若系统未安装traceroute，改用 mtr --report --report-cycles 10 baidu.com 获取更稳定的统计结果。
3、重点观察：某跳首次出现连续星号、后续跳数延迟陡增超过50ms、或最终目标IP未出现在路径末尾。
三、端口与服务可达性检测
即使IP层连通，应用层服务仍可能因防火墙拦截、服务未监听或端口被占用而不可达，需直接验证目标端口状态。
1、测试常用端口（如HTTP）：运行 nc -zv example.com 80，返回“succeeded”表示端口开放且可建立连接。
2、检查本机端口监听情况：执行 ss -tuln | grep ':80' 或 netstat -tuln | grep ':443'，确认服务进程是否绑定正确地址与端口。
3、对关键服务进行telnet简易验证：运行 telnet example.com 443，观察是否成功建立TCP握手。
四、DNS解析深度核查
DNS问题常表现为域名无法解析或返回错误IP，需绕过系统缓存直接向权威DNS发起查询，识别污染、配置错误或服务器不可达。
1、查看当前DNS配置：运行 cat /etc/resolv.conf，确认nameserver地址非空且为可信DNS（如114.114.114.114或8.8.8.8）。
2、执行权威解析：运行 dig +trace example.com，观察从根域→顶级域→权威服务器的完整递归过程，定位中断环节。
3、比对不同DNS源结果：分别执行 nslookup example.com 8.8.8.8 和 nslookup example.com 114.114.114.114，若结果不一致，高度提示DNS污染或本地缓存异常。
五、防火墙与策略规则审查
本地或远程防火墙可能静默丢弃ICMP、TCP SYN或特定端口流量，导致连接失败却无明确错误提示，必须主动检查规则状态。
1、检查firewalld状态（RHEL/CentOS）：运行 firewall-cmd --state 确认服务是否运行，再执行 firewall-cmd --list-all 查看当前生效规则。
2、检查iptables规则（通用）：运行 iptables -L -n -v | grep -E '(DROP|REJECT)'，定位是否有匹配目标IP或端口的拒绝策略。
3、临时禁用防火墙验证：执行 systemctl stop firewalld（或 ufw disable for Ubuntu），再重试网络操作，确认是否为防火墙所致。
