为什么只有移动网络打不开网站？从 DNS、443 端口到 CDN 的完整排查方法

本文中的“移动网络”主要指中国移动运营商网络，同时也适用于手机蜂窝网络访问异常的场景。

摘要

网站在电信、联通和服务器本机访问正常，但使用中国移动网络时却出现打不开、加载缓慢、连接超时等问题，通常不代表网站程序本身发生了故障。

这类问题更可能出现在以下环节：

• 移动递归 DNS 返回了不同的解析结果
• 域名存在异常或不可用的 IPv6 记录
• 移动网络到服务器的路由质量较差
• 服务器防火墙、CDN 或 WAF 拦截了部分移动出口 IP
• 443 端口可以建立连接，但 TLS 握手或 SNI 处理异常
• CDN 在移动线路上的节点配置、回源或缓存异常

本文将使用 DNSPup 网络诊断工具 对 DNS、Ping、Tcping 和网站测速结果进行交叉验证，快速判断故障究竟发生在哪一层。

---

一、先明确一个重要结论

“只有移动网络打不开”不等于“移动宽带有问题”，也不等于“服务器坏了”。

一次正常的网站访问，至少要经过以下流程：

输入域名
   ↓
DNS 解析
   ↓
获得 IPv4 或 IPv6 地址
   ↓
建立 TCP 80/443 连接
   ↓
进行 TLS 握手
   ↓
发送 HTTP 请求
   ↓
CDN/WAF/源站返回内容

任意环节针对移动网络出现差异，都可能造成“电信和联通正常，移动打不开”。

因此，正确的方法不是反复重启服务器，而是逐层定位故障。

---

二、第一步：检查不同运营商的 DNS 解析结果

打开 DNSPup：

https://dnspup.com/

进入 DNS 相关检测功能，输入发生异常的域名，重点对比：

• 中国移动节点返回的 IPv4 地址
• 中国电信、联通节点返回的 IPv4 地址
• 是否存在部分节点解析失败
• 是否返回了过期或错误的 CDN 地址
• 是否同时存在 A 和 AAAA 记录
• 不同地区的解析结果是否存在明显差异

典型异常

假设域名的正确地址为：

203.0.113.10

检测结果却显示：

网络	解析结果	状态
电信	203.0.113.10	正常
联通	203.0.113.10	正常
移动	198.51.100.25	异常
部分移动地区	解析超时	异常

这说明问题优先发生在 DNS 或 CDN 调度层，而不是网站程序。

建议处理

1. 检查权威 DNS 中是否残留旧记录。
2. 检查 CDN 是否为移动线路配置了独立记录。
3. 确认域名的 CNAME 链是否完整。
4. 检查 DNS 记录的 TTL 是否设置过长。
5. 修改记录后等待各地递归 DNS 缓存更新。

不要因为某一台电脑能够解析，就直接判断 DNS 正常。运营商递归 DNS、地区缓存和 CDN 调度结果可能完全不同。

---

三、第二步：检查 AAAA 和 IPv6 配置

部分移动网络会优先使用 IPv6。如果域名发布了 AAAA 记录，但服务器的 IPv6 服务没有正确配置，就可能出现：

• 移动网络打不开
• Wi-Fi 下可以打开，手机流量打不开
• IPv4 测试正常，IPv6 访问超时
• 首页偶尔能打开，静态资源大量失败

可以分别测试：

curl -4 -I https://example.com
curl -6 -I https://example.com

如果 IPv4 正常，而 IPv6 超时或连接失败，需要检查：

• AAAA 记录是否指向正确地址
• 服务器是否真正绑定了该 IPv6 地址
• IPv6 防火墙是否开放 80 和 443 端口
• Web 服务是否监听 IPv6
• CDN 是否支持当前域名的 IPv6 HTTPS 访问

如果暂时没有完整的 IPv6 服务能力，应谨慎评估是否需要保留 AAAA 记录。

发布 AAAA 记录代表网站声明自己支持 IPv6，仅仅拥有一个 IPv6 地址并不等于服务已经可用。

---

四、第三步：使用 Ping 判断基础网络质量

在 DNSPup 中选择 Ping 检测，重点观察移动节点的：

• 延迟
• 丢包率
• 解析地址
• 不同地区之间的差异

例如：

运营商	平均延迟	丢包率	初步判断
电信	35 ms	0%	正常
联通	42 ms	0%	正常
移动	186 ms	40%	路由质量异常

如果大量移动节点同时出现高延迟或丢包，而其他运营商正常，应重点排查：

• 服务器机房到移动网络的互联质量
• 跨运营商路由绕行
• 国际线路拥塞
• 服务器上游网络异常
• 高防或清洗线路调度异常

但需要注意：

Ping 不通不代表网站一定打不开。

部分服务器会主动禁止 ICMP。此时 Ping 可能显示超时，但 TCP 443 和 HTTPS 仍然可以正常访问，所以还必须继续测试端口。

---

五、第四步：使用 Tcping 检查 443 端口

HTTPS 网站最关键的是 TCP 443 端口。

在 DNSPup 的 Tcping 功能中输入：

example.com:443

分别观察移动、电信和联通节点能否建立连接。

结果判断

Ping	Tcping 443	判断
失败	成功	服务器可能禁止 ICMP，网站端口正常
成功	失败	防火墙、端口或安全策略异常
移动失败	电信、联通成功	移动路由、ACL 或出口 IP 拦截
全部失败	全部失败	服务器、端口或上游网络故障
全部成功	网站仍打不开	继续排查 TLS、HTTP、CDN 和 WAF

如果只有移动节点无法连接 443，建议检查：

• 云服务器安全组
• Windows 防火墙或 Linux 防火墙
• 宝塔、1Panel 等面板的安全策略
• CDN、WAF 和高防控制台
• 是否配置了地区或运营商访问限制
• 是否误封移动网络的共享出口 IP

移动网络经常存在大量用户共享同一个公网出口 IP 的情况。如果安全策略按照访问频率自动封禁 IP，可能一次误伤大量正常用户。

---

六、第五步：使用网站测速检查 HTTPS 请求

如果 Tcping 443 成功，但浏览器仍然打不开，说明 TCP 连接已经建立，问题可能发生在更上层：

• TLS 握手
• SNI 域名匹配
• HTTPS 证书链
• HTTP 状态码
• CDN 回源
• WAF 拦截
• 页面资源加载

使用 DNSPup 的网站测速功能直接检测完整域名，例如：

https://example.com/

不要只检测服务器 IP，因为直接访问 IP 与访问域名并不等价。

HTTPS 请求通常依赖：

• 域名对应的 SNI
• 正确的证书
• Web 服务器虚拟主机
• CDN 的 Host 识别
• WAF 的域名规则

因此可能出现：

测速 IP：正常
测速域名：失败

这种现象不能直接证明服务器正常，反而说明问题更可能与 DNS、SNI、证书、虚拟主机或 CDN 配置有关。

---

七、根据状态码快速定位问题

网站测速如果能够返回 HTTP 状态码，可以按照以下方式判断：

状态码或错误	常见原因
DNS 解析失败	DNS、CNAME、DNSSEC 或递归缓存异常
Connection Timeout	路由、防火墙、安全组或端口异常
TLS Handshake Failed	证书、协议版本、SNI 或系统时间异常
403 Forbidden	WAF、CDN、访问控制或 IP 封禁
502 Bad Gateway	CDN 无法连接源站
504 Gateway Timeout	CDN 回源超时
301/302 循环	HTTPS 跳转或反向代理配置错误
200 但速度很慢	TTFB、回源、带宽或页面资源问题

如果移动节点集中返回 403，而电信和联通为 200，应优先检查 WAF、CC 防护、IP 黑名单和区域访问策略。

如果移动节点集中返回 502 或 504，则需要检查 CDN 的移动节点能否正常回源。

---

八、最实用的结果对照表

完成 DNS、Ping、Tcping 和网站测速后，可以使用下面的表格快速定位：

检测现象	可能原因	优先检查
移动 DNS 返回不同地址	DNS/CDN 调度异常	权威 DNS、CNAME、CDN
移动出现错误 AAAA 地址	IPv6 配置异常	AAAA、防火墙、IPv6 监听
移动 Ping 丢包严重	路由质量差	机房线路、上游运营商
Ping 失败但 Tcping 成功	ICMP 被禁止	通常无需处理
移动 Tcping 443 失败	端口或线路被拦截	安全组、WAF、ACL
443 成功但 HTTPS 失败	TLS/SNI/证书异常	证书链、Web 配置
IP 正常、域名失败	DNS、SNI 或虚拟主机异常	DNS、证书、Host 配置
移动返回 403	安全策略误拦截	WAF、CC 防护、IP 黑名单
移动返回 502/504	CDN 回源异常	源站、防火墙、回源 Host
只有部分省份异常	地区节点或路由问题	对应地区线路和 CDN 节点

---

九、推荐的标准排查顺序

遇到“只有移动网络打不开”时，可以按照下面的顺序操作：

1. 对比移动、电信、联通的 DNS 结果
2. 检查 A、AAAA 和 CNAME 记录
3. 使用 Ping 判断基础线路质量
4. 使用 Tcping 检查 443 端口
5. 使用网站测速验证完整 HTTPS 请求
6. 根据错误码检查 CDN、WAF 和源站
7. 修复后重新进行多地区复测

这一顺序能够快速把问题划分到四个范围：

DNS 解析层
网络传输层
TLS/HTTP 协议层
CDN/WAF/源站应用层

相比只在自己电脑上反复刷新网页，多运营商远端检测更接近真实用户的访问环境。

---

十、修复后不要只测试一次

网络问题经常具有地区性和间歇性。完成修复后，建议再次使用 DNSPup 进行多节点验证：

• 移动节点是否全部获得正确解析地址
• 443 端口是否恢复连接
• HTTPS 是否返回预期状态码
• 不同省份是否仍有异常节点
• 延迟和丢包是否恢复正常
• IPv4 与 IPv6 是否都能正常访问

至少进行两到三轮复测，避免把短暂恢复误认为问题已经彻底解决。

---

总结

“只有移动网络打不开”通常不是单一故障，而是不同运营商之间的 DNS、路由、IPv6、CDN 和安全策略差异造成的。

排查时应牢记：

Ping 只能检查基础连通性，Tcping 用于检查端口，网站测速才是在验证完整的域名访问过程。

通过 DNSPup 对移动、电信、联通节点进行交叉检测，可以快速判断问题究竟发生在 DNS、TCP 443、TLS、CDN、WAF，还是源站服务器，减少无效重启和盲目修改配置。

在线检测入口： https://dnspup.com/