## 症状现象
本地 ping 云服务器的公网 IP 没有任何回应，请求超时。SSH 连不上，网站也打不开，但控制台里实例状态明明是运行中。ping 走的是 ICMP 协议，与 TCP 端口是两条路，ping 不通的原因可能很浅——只是没人应答 ICMP——也可能很深，机器本身已经失联。按固定链路排查，五分钟能切出问题在哪一层。先别急着重启机器，重启救不了配置类问题，反而把现场冲掉。
## 排查链前两环：平台规则与系统防火墙
第一环查控制台防火墙规则（安全组）：ICMP 协议是否放行。很多模板默认只放 22、80、443 的 TCP，ICMP 一并被挡，这是 ping 不通最常见的原因，表现是"服务都正常就是 ping 不通"。规则里补上 ICMP 放行即可。平台侧规则与系统内规则是串联的两道门，任何一道关着 ICMP 都过不去。第二环查系统内防火墙：firewalld 或 iptables 对 ICMP 的处理，部分加固脚本会默认丢弃 ICMP 回应。登进机器执行：
bash firewall-cmd --list-all iptables -L INPUT -n | grep icmp
有明确 DROP 规则就删掉或放行。
## 排查链后两环：内核参数与对端策略
第三环查内核：icmp_echo_ignore_all 开启时，内核直接无视一切 ping，机器活着但不回应：
bash sysctl net.ipv4.icmp_echo_ignore_all
输出为 1 就是它，改回 0 生效。顺带看一眼网卡与路由：公网地址是否还在、多网卡机器的策略路由是否把回包带丢了。第四环查对端与本机之间：本地网络策略、公司出口、运营商对 ICMP 的限速，换个网络环境（手机热点）再 ping 一次即可分辨。四环都排除仍不通，且 SSH 与端口也不通，问题升级为实例级故障，看控制台监控曲线最近有无断崖，必要时走工单渠道。
## 预防建议
上线时把 ICMP 放行写进初始化模板，避免每次新机器都当故障查一次。要说明的是，ping 只是链路的粗测，通了不代表服务可用，不通也不必然代表故障——刻意禁 ping 是常见的安全策略。真正判断业务可用，用端口探测与应用层健康检查，顺云控制台的监控告警比 ping 更早发现问题，别让一个 ICMP 包背所有锅。监控里加一条实例级的心跳检查，比人工 ping 更早暴露失联。