内网ping不通外网但是内网能正常上网

办公室小李昨天急吼吼找我：“外网能开网页，QQ微信都正常，不通可ping百度就是外网不通，是正常不是有人搞鬼？”我看了眼他的命令行，回包全是上网“请求超时”。他一脸狐疑，内网我反倒笑了——这毛病我见多了，不通十有八九是外网防火墙在捣乱。

先别急着怀疑网线或DNS。正常能正常上网，上网说明TCP/IP栈、内网路由、不通DNS解析都活着。外网ping用的正常是ICMP协议，而网页走的上网是TCP 80或443端口——两者在系统防火墙里是分开管的。Windows Defender或第三方安全软件默认会拦ICMP回显请求，你ping出去，对方回了，但本机防火墙把回包当陌生访客给拒了。症状就是：网页嗖嗖快，ping却全军覆没。

验证方法极简单：在cmd里输入ping -t 114.114.114.114，如果还是不通，再试ping -t www.baidu.com。前者不通而后者通，那可能是DNS或运营商策略问题；两者都不通但浏览器正常，基本就是本机防火墙拦ICMP。顺带说一句，有些公司网络管理员故意禁ping，防扫描，但允许80端口——那是策略，不是故障。

处理办法看你的角色。普通用户：打开“Windows安全中心”→“防火墙和网络保护”→“允许应用通过防火墙”，勾选“文件和打印机共享”里的“回显请求”，或者干脆临时关防火墙测试（记得开回来）。管理员则要查组策略或路由器ACL——我见过某分支机构的思科路由器上写了条deny icmp any any，把全网ping都禁了，后来改成只允许内网段互ping才消停。

还有个冷门但真实的坑：网卡驱动或VPN虚拟网卡的“允许ICMP”选项被关了。去年我帮朋友排查，他装了某国产VPN后，物理网卡的ICMP入站规则被自动改成“阻止”，卸载VPN也没恢复。最后手动重置了winsock目录（netsh winsock reset）才解决。这类问题在笔记本上尤其常见，因为电源管理会“智能”休眠网卡，偶尔把ICMP响应一起休眠了。

最后说个反直觉的观察：现在很多云服务器和CDN节点故意禁ping，但HTTP服务照常。所以如果你ping不通某个网站，但浏览器能打开，别慌——那可能不是你的问题，是对方懒得回应你的“敲门声”。判断网络故障，别只盯ping，浏览器能开网页就是硬道理。要是哪天连网页都打不开，再回头查ICMP也不迟。