同一个网站，Wi-Fi 能打开、移动数据打不开，并不等于运营商一定屏蔽了域名。可能是递归 DNS 结果不同、IPv6 路径失败、TLS 握手被中断，也可能只是移动网络缓存了旧页面。
第一层：确认域名解析
分别在移动网络和其他网络执行 dig 域名 A 与 dig 域名 AAAA。记录解析结果、响应时间和 TTL。如果 A 记录正常但 AAAA 指向不可达地址，浏览器可能优先尝试 IPv6，造成“只有部分网络打不开”。
第二层：确认 TCP
使用 curl -v --connect-timeout 8 https://域名/ 观察连接阶段。TCP 未建立时，重点检查目标 IP、端口、路由和运营商差异；TCP 已建立但卡在 TLS，则应继续看证书和握手。
第三层：确认 TLS
检查证书有效期、域名覆盖和证书链。SNI 不一致、中间证书缺失或系统时间异常，都可能让特定客户端失败。不要只在桌面浏览器验证，还要记录手机型号和系统版本。
第四层：确认 HTTP
记录状态码、最终 URL、响应头和跳转次数。常见问题包括 HTTPS 与 HTTP 循环跳转、地区规则误判、缓存返回旧页面，以及 CDN 对移动 UA 返回不同结果。
第五层：确认源站
把 CDN 日志、回源日志和应用日志按时间对齐。浏览器显示超时，并不代表源站没有收到请求；反过来，源站返回 200 也不代表用户拿到了完整资源。
记录建议：每条证据写明时间、网络、运营商、设备、目标 IP、DNS 结果和 HTTP 状态。只有同一时刻的分层结果，才能支持可靠判断。
如果排查后仍无法确认范围，可以整理证据并提交到移动屏蔽排查流程。不要用隐藏内容或伪造用户代理代替正常修复。