办公室的通通老张又喊我了。他一脸困惑地指着屏幕，通通说新配的通通服务器怎么都连不上。我瞥了一眼，通通他正在用ping命令测试，通通四个reply整整齐齐，通通延迟不到1ms。通通老张说：“你看，通通网络通着呢，通通但浏览器就是通通打不开，远程桌面也连不上。通通”

我笑了笑，通通这种情况见得太多了。通通ping通只代表ICMP协议能到达对方主机，通通而telnet不通则意味着你要访问的通通那个具体端口，对方根本没在听。打个比方，你往一栋楼打电话，能听到忙音说明线路是通的，但你要找的人不在工位上，电话永远没人接。ping和telnet的区别，就是“楼里有人”和“你要找的人恰好坐在办公桌前”的区别。

问题通常出在几个地方。最常见的是防火墙策略——很多服务器默认只放行ping的ICMP包，却把TCP端口挡在外面。Windows防火墙和Linux的iptables都干过这种事。我遇到过一台CentOS服务器，安全组规则放行了80端口，但没放行22端口，结果web页面能开，SSH就是连不上。你看，连同一个IP，不同端口命运完全不同。

还有可能就是服务本身没起来。记得有次帮朋友排查，他说数据库连不上，我telnet 3306端口直接超时。上去一看，MySQL服务压根没启动，进程列表里干干净净。ping当然通，因为操作系统还活着，但你要的服务已经死了。这就像人还站在门口，但心已经不在了。

另外有种情况挺隐蔽——端口被占用了。某个服务监听在8080，另一个程序也抢着要用8080，结果后启动的那个直接报错退出。你telnet的时候，连接被拒绝，但ping依然通。这时候就得用netstat -tlnp看看到底谁占了端口。

排查这类问题，我有个习惯：先telnet目标IP的22端口试试，如果22通而业务端口不通，那基本可以确定是业务服务本身或者防火墙针对特定端口做了限制。要是所有端口都不通，那才需要怀疑网络路由或主机存活的问题。别一上来就怀疑网线松了，大部分时候网线好得很。

老张听完，自己跑过去检查防火墙规则了。过了十分钟，他发来消息：确实是安全组里忘了加8080端口。我回了个“嗯”，继续干自己的活。这类问题每天在无数机房上演，ping通只是入场券，真正的考验在端口层面。你需要的不是更快的网络，而是搞清楚每个端口背后到底有没有服务在等你。