ICMP 被拦截怎么判断：网页打得开，ping 却一直超时

ping 发出的是回显请求，对方或中间设备回回显应答，这条路径才算通。国内很多网络、公司防火墙和部分节点会直接丢掉回显，于是 Windows 显示 Request timed out。与此同时，浏览器走的是网页端口，仍然能打开同一个主机。把超时理解成「网站挂了」或「线路全断」，下一步就会走错。

还要和另外两种失败分开。目的地不可达是路由或主机明确拒绝；一般性失败常是本机没有可用路由或网卡异常。报文过大且不允许分片时，路径上会把包丢掉，表现也像超时，但根因是长度而不是回显被禁。下面用对照命令把三类拆开。

几种失败分别代表什么

同一台电脑、同一个域名，可以同时出现「回显超时」和「网页正常」。排障记录里把两条结果写在一起，比只贴一行超时有用。

用对照命令把原因分开：分步操作步骤

• 第一步：先把线路准备好。若你要比较直连和接通之后的差别，先连上刺猬VPN，记下当前是全局模式还是按域名和 IP 的智能分流，再开始探测。不要在一条命令跑到一半时切换。自定义用户名和密码即可完成匿名注册，不需要邮箱、也不需要手机号。免费节点永久免费、不限流量、不限速。
• 第二步：先用浏览器打开目标站的普通网页，确认名字能解析、页面能出来。这一步过了，后面的超时就不要再解释成整站宕机。
• 第三步：Windows 用 ping 加次数和指定第四版，避免结果混进第六版。看到请求超时，先记下来，不要立刻换节点。
• 第四步：紧接着测网页端口。Windows 可以用测试网络连接命令指定主机和端口。端口通、回显超时，就可以认定是回显被丢，不是网站不存在。
• 第五步：Linux 或 macOS 上同样先限制次数和第四版。路径跟踪若默认不是回显，要在参数里明确用回显或改用传输层探测，两种结果不要写成同一种故障。
• 第六步：若端口也不通，再查解析到的地址是不是你要的那台，以及本机有没有正确的默认路由。目的主机不可达和请求超时要分开记。
• 第七步：只有大包失败、小包成功时，才怀疑路径长度。用禁止分片的方式从较小长度试起，找到能通过的上限，再对照隧道的长度设置。不要一上来把本机网卡长度改到极端值。
• 第八步：在接通线路和断开线路两种状态下各做一次端口测试。只有一种状态下网页失败，问题在那种出口，不在回显策略。
• 第九步：把结论写成一句话再去改配置：回显被丢、端口可达，就停止用 ping 作为是否在线的标准；端口也失败，才继续查线路和目标站。

按现象决定下一步，而不是连续改设置

命令的原文比感觉重要。同一句超时背后至少有三种原因。

• Request timed out，但网页能开：回显被中间设备丢掉。改去测端口，不要重装浏览器。
• Destination host unreachable：本机或中间路由认为到不了。查地址是否敲错、是否连着错误的网络。
• General failure：本机网络栈异常。先看网卡是不是禁用、是不是没有地址，再谈线路。
• TTL expired in transit：路径有环或跳数异常。用路径跟踪看卡在哪一跳，不要只加大次数。
• 接通线路后只有 ping 失败、网页正常：这个节点不转发回显。这是预期可能发生的情况，不能用来证明节点不可用。
• 小包通、禁止分片的大包超时：路径承受不了这个长度。把探测长度降下来，再考虑隧道长度，而不是换一堆节点。
• 智能分流时国内站超时、境外站正常：探测走了不同的出口。排障时改全局模式，让两次测试出口一致。
• 第六版有地址、第四版超时：名字解析到了你没测的那一族。指定第四版再测一次，避免把协议族差异当成拦截。

系统之间的命令怎么对照

Windows 的 ping 默认可能同时碰第四版和第六版，次数也多。排障时写明次数，并指定第四版，输出才比较得了。测端口不要再用回显命令代替，系统自带的连接测试可以对指定端口做一次握手意义上的探测。

macOS 和不少 Linux 发行版的路径跟踪默认用的不是回显。你以为在证明回显被丢，其实在测另一条协议。参数里明确选择回显，或改成对网页端口的探测，两份结果分开保存。

家里路由器和公司网络经常禁止外部进来的回显，这不代表你不能上网。判断「我这台电脑出不出得去」时，以网页端口或你真正要用的服务端口为准。

线路接通后，回显即使通了，也不能说明网页一定快。回显包很小，网页还要看握手和目标站自己的响应。反过来，回显不通更不能说明网页不可用。两句都不要写进故障结论。

改隧道长度之前，先用禁止分片的小步长试出能通过的上限，把这个数字和当前线路的长度设置对照。一次改很多，失败时不知道是拦截还是长度。长度相关的原理可以和路径跟踪一起看，但不要在没记录基线时连续改三项。

笔记按四列来写：时间、是否接通线路、回显结果、网页端口结果。少一列，过半天就会忘了当时是全局还是分流。四列齐了，才能说明这不是整站故障。

家里的出口设备常常对回显沉默，对网页端口放行。改用手机热点再测一次，若端口仍通、回显仍超时，就可以排除家里这一台设备的个别设置，结论仍然是回显没有应答。

几次有记录的对照就够了。不要无间隔地连续探测，那不能把已经被丢掉的回显找回来。名字若解析出多个地址，对你实际探测的那一个做端口测试，并写下来。浏览器可能已经换到通的地址，命令行还停在不通的那个。

先把结论写成一句再改设置。已经是回显被丢、端口可达，就不要连着改长度、换节点和重启网卡。三项一起动，网页恢复了也不知道是哪一项起的作用。

探测方式和线路怎么选

这类排障几乎不消耗流量。免费节点永久免费、不限流量、不限速，足够做接通前后的对照。需要长时间保持一条出口时，用时长套餐，期间不限流量、不限速。刺猬VPN自身不对账号设速率上限，实际速度受本地网络和目标站影响。实际可用性取决于当前网络环境。

和路径跟踪、长度设置怎么分工

路径上每一跳怎么读、超时和星号分别是什么意思，见 traceroute 与 ping 指南。那篇讲的是路径本身。本篇只解决一件事：回显失败时，不要直接宣布网站不可用。

已经确认是大包被丢、要改隧道能通过的长度时，再看 MTU 设置。长度没问题、只是回显被禁，就不要去改长度。两件事叠在一次修改里，做完也不知道是哪一项生效。

常见报错速查表

高频问答

• 问：ping 不通是不是被墙了？答：不一定。回显被公司网络或节点丢掉时，网页仍可以正常打开。先做端口对照。
• 问：节点应不应该转发回显？答：有的网络会丢。丢了只说明不能用 ping 验收，不说明网页服务不可用。
• 问：traceroute 全是星号怎么办？答：可能是探测包被丢，不是每一跳都宕机。换对网页端口的探测方式再看，细节见路径跟踪那篇。
• 问：需要一直开着线路才能测吗？答：只有在比较「接通前后」时才需要接通。测本机网卡故障时，先不要加线路，避免把两层问题叠在一起。
• 问：把 ping 包发得很大有没有用？答：只在怀疑长度时才增大，并且要禁止分片、从小到大。无目的的大包不能证明拦截。
• 问：第六版超时要不要关第六版？答：先指定第四版重测。确认应用实际走哪一族之后再决定，不要先关整个协议族。

以后用哪一条结果做结论

ICMP 被拦截时，最常见的误判就是网页明明打得开，却因为 ping 超时去重启路由、重装系统和更换节点。先让浏览器证明名字和网页端口，再用系统自带的端口测试做对照。回显超时加上端口可达，结论就是回显被丢。端口也不通，才继续查线路、解析和路径长度。

刺猬VPN采用 HTTPS+AES 加密，支持自定义用户名和密码匿名注册，不需要邮箱和手机号。客户端可以全局或按域名和 IP 智能分流，排障时用全局模式让探测出口一致。免费节点永久免费、不限流量、不限速；时长套餐在有效期内不限流量、不限速。实际可用性取决于当前网络环境。