nslookup能返回IP，浏览器却一直转圈。DNS成功只能证明“知道目标地址”，并不代表数据包能从终端出发、经过旁路网关、到达目标后再正确返回。
把链路拆成四段
- 终端把流量交给哪个默认网关；
- 旁路网关是否转发或透明接管；
- 主路由是否知道返回终端的路径；
- 防火墙和NAT是否允许会话往返。
| 测试结果 | 排查方向 |
|---|---|
| DNS成功，IP ping不通 | 路由、防火墙或目标禁ping |
| IP可达，443端口不通 | 端口策略、透明代理、服务状态 |
| 小请求成功，大页面卡 | MTU/MSS与丢包 |
| 旁路由本机正常、终端失败 | LAN转发、回程和NAT |
回程路由为什么关键
终端经旁路网关发出请求，但返回包直接从主路由回终端，可能导致状态跟踪不一致。具体是增加静态路由还是做源地址转换，取决于架构，不能照抄一个万能配置。
先用单设备和简单规则
关闭复杂分流，只让一台测试电脑经过旁路网关。查看路由表、连接跟踪和防火墙计数，确认基础转发后再加入DNS和代理规则。
网络恢复步骤要提前写好：把终端网关改回主路由或关闭相关策略。排错的目标是找到断点，不是不断叠加新规则。
