凌晨两点，某个服务突然连不上了。ICMP 通，TCP 不通——这种组合通常意味着问题不在服务本身。

最后定位到是链路层对某个 IP 的策略变更。换了一个入口，问题消失。笔记留在这里，提醒自己：先画拓扑，再动配置。

排查顺序

第一步永远是把问题缩小到一个方向：是本机、是链路、还是对端。能 ping 通只说明 ICMP 通路还在，对 TCP 一无所知。

第二步是找一个「能连的参照点」。同机房另一台机器、同一个服务的另一个入口，只要有一个通，问题范围立刻小一半。

第三步才是动配置。