“打不开”可能发生在域名解析、网络连接、TLS 握手、HTTP 应用或源站处理中的任何一层。把不同层的问题都叫“被墙”或“污染”，会让排查方向从一开始就偏离。
先区分四种现象
| 现象 | 可能的重点 | 下一步证据 |
|---|---|---|
| 解析到错误 IP 或返回异常记录 | DNS 污染、错误配置或本地缓存 | 权威 DNS、多个公共解析器、TTL |
| IP 正确但 TCP 超时 | 路由、运营商策略、目标端口或源站不可达 | 多地区 TCP 探测、服务器入口日志 |
| TCP 可连接但 TLS 中断 | 证书、SNI、协议或中间设备 | openssl 输出、证书链、客户端差异 |
| HTTP 有状态码但内容异常 | CDN、应用、WAF、地区规则或缓存 | 响应头、请求 ID、源站日志 |
权威记录和递归结果要分开看
权威 DNS 展示域名拥有者配置的原始记录，递归解析器返回的是缓存或本地策略后的结果。先确认权威记录是否包含预期 A/AAAA/CNAME，再比较不同公共解析器和运营商网络的结果。只查一次本地 DNS，无法判断问题是否普遍。
多地区测速只是样本
第三方全国测速平台能帮助发现地区差异，但单个节点也可能自身故障。应重复测试、选择对照域名，并记录返回时间。200、301、404、502 等状态至少说明请求到达了某个 HTTP 服务；000、无解析或超时则需要继续区分 DNS、TCP 和端口问题。
服务器日志能提供关键反证
如果用户显示超时，但服务器看到了同一时间的请求，问题可能在响应路径或应用层；如果服务器完全没有请求，故障可能发生在请求到达源站之前。把用户时间、时区、目标 IP 和请求路径记录清楚。
结论要保留置信度
建议把结论分为“已确认”“可能相关”“未验证”。例如，权威 DNS 配置错误是已确认事实；多个运营商同时返回异常地址，可以支持 DNS 异常判断；仅凭几张测速截图，不能证明全部用户受影响。
处理顺序：先修复可确认的解析、证书和服务器问题，再评估地区网络或运营商策略。不要使用隐藏内容、伪造用户代理或未经验证的跳转来掩盖根因。
说明：本文根据公开域名与线路排障资料中的常见问题重新整理，并结合分层测试方法，不构成对任何第三方绕行服务的推荐。