网络：地址、端口、DNS 与基本观察

网络配置与诊断从一条具体连接开始：谁在什么时间，以哪个源地址连接哪个目标与端口。把 DNS、路由、传输连接和 TLS 分开观察，才能避免用 ping 成功推断应用可用。

按任务阅读

当前任务	阅读内容	应掌握的结果
认识环境与基本操作	本篇的环境前提、基本对象与操作	说明管理的对象、执行身份和配置位置
理解机制并完成配置	分层、路由、TCP 与 TLS；配置连接与双向路径验证	解释关键机制，按配置完成任务并核对结果
维护、排障与恢复	网络变更、证据留存与恢复；解析失败、拒绝与超时定位；能 ping 但业务连接失败的复盘	能保存证据、控制变更、恢复并验收

分层诊断

先画出客户端、网关、解析器和服务端。链路负责相邻节点，IP负责跨网段寻址，传输层把数据交给端口，应用协议再解释消息。某一层成功只排除了该层的一部分故障：收到HTTP错误说明已有应用响应，不能因此认定所有网络路径正常。把现象标到发生的层，避免看到超时就重装客户端。

工具选择与观察位置

选择工具前写出问题：Linux的ip route观察路由，Windows的Get-NetRoute观察路由对象，macOS的route查看路径；它们的参数不能互换。只读观测也受权限和命名空间影响，容器内与宿主机是不同观察点。本课程只展示概念与离线材料，不发包、不运行产品命令。

地址、前缀与保留网段

CIDR以前缀长度划定网段；192.0.2.0/24是文档示例，不能直接拿来部署。IPv4常见广播网段中末地址是广播，不能当网关；/31点到点等有专门语义。172.12与172.13不属于RFC1918的172.16/12私网，历史公司地址不应复制到新环境。IPv6使用前缀和邻居发现，不能套IPv4广播规则。

练习与参考解答

练习：材料：同一客户端对目标返回HTTP 403，另一次查询得到目标IPv4地址。哪条证据能证明应用层已有响应？还应记录哪两个字段，才能区分命中了错误入口与正确入口的授权拒绝？

参考解答

403证明该次请求已有HTTP响应，DNS成功仅证明该次解析获得地址，二者都不证明业务获准。记录实际连接的目标IP/端口和响应来源/请求Host（HTTPS还需预期名称与SNI），再与入口配置对应；不能因为解析成功就把403归为网络不通。