怎么看域名是不是被墙

要判断一个域名是否被“墙”（即被中国大陆防火墙阻断），需要从网络可达性、DNS解析、TCP连接、HTTP/HTTPS协议等多个层面进行综合检测。单纯用浏览器打不开并不能直接判定为被墙，因为还可能是服务器宕机、域名未备案（针对国内主机）、本地网络故障或浏览器问题。以下是专业、系统化的判断方法与验证流程。

一、区分“被墙”的三种主要类型：
1. IP地址封锁：目标服务器IP在中国大陆被路由丢弃，导致无法建立TCP连接。
2. DNS污染：域名解析返回的IP被篡改，通常是错误的IP或黑洞IP，使得请求被导向无法访问的地址。
3. SNI阻断/协议过滤：即使IP可通，防火墙在TLS握手阶段检测到域名（SNI字段）后直接重置连接（RST）。这种“墙”最隐蔽，常见于HTTPS网站。

二、本地基础检测步骤：
首先，在终端（CMD、PowerShell或Linux Shell）中执行 ping 域名 和 nslookup 域名。观察以下几点：
- 如果 ping不通，且提示“请求超时”或“无法访问目标主机”，不代表一定被墙，需要结合其他工具。
- 如果 nslookup返回的IP异常，例如返回0.0.0.0、回环地址（127.0.0.1）、或不属于目标服务器所有者的IP，则基本可判定为DNS污染。
- 如果解析到的IP是真实IP（可通过whois查询或海外DNS对比确认），但ping丢包100%，则可能是IP被封锁或服务器本身屏蔽ICMP。

三、使用第三方工具对比验证：
因为本地网络可能受运营商DNS缓存影响，建议使用海外在线DNS解析工具（如 dns.google、1.1.1.1 的DoH服务）查询同一域名的真实解析结果。若海外解析正常，而本地解析异常，则确认存在DNS污染。
同时使用在线网站可用性检测工具（如uptimerobot、ping.pe、websitepulse等）从多个海外节点检测该域名的HTTP/HTTPS状态。如果海外节点全部正常，而中国大陆无法访问，强烈提示被墙。

四、深入测试TCP与SNI层：
使用 tcping 或 telnet 域名 80/443 来检测TCP端口连通性。如果TCP端口完全无法连接，且该服务器IP在海外正常，则多数是IP被封锁。
如果TCP 443端口能通，但浏览器访问HTTPS时直接提示“连接被重置”或“SSL握手失败”，可以使用 openssl s_client -connect 域名:443 -servername 域名 命令进行SNI测试。若执行后出现“RST”或超时，说明防火墙对SNI字段进行了阻断。此时尝试用 IP + Host头（如 curl --resolve 域名:443:真实IP）访问，若IP直连能通，而域名SNI方式不通，则可明确判定为SNI阻断型被墙。

五、使用专业检测工具：
1. GreatFire (greatfire.org)：提供域名被墙状态查询，能区分DNS污染和连接重置。
2. Blocky (blocky.net)：检测域名是否有干扰。
3. IPv6检测：部分域名IPv6未被墙，可尝试通过IPv6访问，但这不能改变IPv4被墙的事实。
4. 本地代理/全局VPN对比：在不使用代理时访问失败，开启代理后访问成功，且代理出口IP为海外，进一步证明是地域性封锁。

六、综合判断流程与结论：
如果满足以下条件：海外解析正常、海外访问正常、本地解析被篡改或TCP连接被重置、且通过代理可正常访问，即可确认域名被墙。需要注意的是，没有备案号的域名指向中国大陆服务器会被阻断，但这种情况属于“未备案拦截”，不是防火墙“被墙”，通常表现为80/443端口被ISP重定向到备案提醒页面。真正的“被墙”指GFW的干预行为。

七、常见误判提醒：
不要仅凭“打不开”下结论。必须先排除：
- 服务器本身宕机（海外也无法访问）。
- 域名过期或被注册商暂停解析。
- CDN节点故障或国内节点被屏蔽（而其他节点正常）。
- 本地防火墙、hosts文件冲突、DNS缓存污染（非GFW造成，但现象类似）。
建议清除本地DNS缓存（ipconfig/flushdns）后重新检测，并更换公共DNS（如114.114.114.114、223.5.5.5）再测试一次。若更换国内公共DNS后解析恢复正常且能访问，则说明只是运营商DNS问题，并非被墙。

八、最终结论：判断域名是否被墙，核心证据链是：海外可访问 + 国内不可访问 + 排除源站故障 + 检测到TCP重置或DNS污染。对于普通用户，最简单的验证方法是用“站长工具”的海外节点测试，再结合本地ping和nslookup结果。如果需要更权威的结论，可以在隐私模式浏览器下直接访问，并抓包观察是否收到TCP RST包。若收到RST，且该RST源地址为中国电信/联通/移动骨干网设备，即可100%确认为被墙。