Linux网络连通性检测方法

能连通，但不等于服务可用

ping 只管通不通，不管端口开不开、服务起没起。这是很多人在排查网络问题时最容易踩的坑。

先说几个核心判断：ping 只验证 IP 层是否可达，但它不关心端口是否开放，也不关心服务是否在运行。要真正判断一个服务能否访问，必须走到传输层去验证。

用 ping 测试 IP 层是否可达

这是最基础的网络连通性判断——本地能否发出 ICMP 包并收到回应。它只验证网络层路径，和端口、协议逻辑无关。

• 发 4 个包就停：ping -c 4 8.8.8.8。如果返回 0% packet loss，说明到该 IP 的路由是通的；如果卡在 Destination Host Unreachable 或全程 timeout，那问题就出在网关、路由或物理链路。
• 绕过 DNS 直接测域名：ping -c 4 -W 2 example.com。参数 -W 2 能防止因 DNS 解析慢导致的假性超时。
• ping -c 1 192.168.1.1 快速确认网关——比直接 ping 外网能更早暴露局域网层面的问题。
• 注意：ping 被目标禁用（比如云服务器默认关闭 ICMP）时会显示超时，但这并不代表网络不通，得换其他手段来验证。

用 telnet 或 nc 测试 TCP 端口是否可连

ping 通了，不代表服务就能访问。HTTP、SSH、数据库等服务都依赖于特定端口的监听状态。这时候必须验证传输层的连接能力。

• telnet example.com 443：如果成功，会显示 Connected to...；如果看到 Connection refused，说明端口有监听但拒绝连接（可能是服务未启动或配置了拒绝规则）；如果卡住不动，大概率是防火墙拦截或中间设备丢包。
• 系统没装 telnet？Ubuntu/Debian 用 sudo apt install telnet，CentOS/RHEL 用 sudo yum install telnet。
• 更推荐使用 nc：nc -zv 10.0.0.5 22（-z 表示扫描时不发送数据，-v 显示详细结果）；加上 -w 3 设置 3 秒超时，避免脚本挂死。
• 批量测端口：for port in 22 80 443; do nc -zv target-ip $port; done。

查网卡本身有没有物理连接

连 ping 都发不出去，先别急着查路由。问题可能很简单——网线没插、交换机断电、或者接口 down 了。

• ethtool eth0 | grep "Link detected"：输出 yes 才说明物理链路真实存在；输出 no 的话，就得去拔插网线、检查对端设备。
• cat /sys/class/net/eth0/operstate：返回 up 表示内核认为接口已启用，但可能仍然没有物理信号。需要配合 ethtool 的结果才可靠。
• ip link show eth0：如果输出中包含 NO-CARRIER，说明底层链路不存在；state UP 只表示软件层面启用，不能保证物理连通。
• 别只信 ifconfig 或 ip a 显示的 IP 地址——它们不反映物理状态，很容易造成误判。

为什么 netstat 和 ss 不适合“检查连通性”

netstat 和 ss 看的是本机当前的连接和监听状态，它们不是用来测“能不能通”的工具。混淆这点会导致排查方向完全跑偏。

• netstat -tuln 或 ss -tuln 只告诉你“本机哪些端口正在监听”，但不能说明外部能否连上。
• netstat -anp 显示所有连接，但只限于已经建立的连接——连都连不上，自然不会出现在这里。
• 想查谁占了 80 端口？用 lsof -i :80；想看本机有没有异常外连？ss -tnp | grep ESTAB 更快。
• 现代系统建议优先使用 ss，netstat 已经被很多发行版默认移除了，需要手动安装 net-tools 才能使用。

真正卡住排查进度的，往往不是命令本身，而是排查顺序。先确认物理链路是否正常，再测试网关的可达性，然后验证目标 IP 是否可达，最后才去测试端口。如果跳步做，或者只依赖 ping 来下结论，容易把防火墙拦截、服务未启动、DNS 解析失败等问题，全都归结成“网络不通”。