ICG3000路由器设备诊断工具可以ping通DNS，但是电脑上不了外网，该如何处理？

1、确认电脑是否只开了一个网卡，网关、DNS服务器地址是否正确，能否ping通ICG3000的WAN口地址；

2、确认ICG3000一共有几个WAN口，缺省路由配置是否正确。如若内网口有配置策略路由，核对策略路由配置是否正确；

3、确认ICG3000 的WAN口是否配置了nat outbound配置

先用电脑ping路由地址看是不是内部不通

发配置

参考快速设置就可以上网的，如果不行，请完整看下手册吧

H3C ICG系列路由器 Web配置指导(V7)-R6749-6W102

1. 验证终端到路由器的基础连通性

• 检查 IP 配置：在电脑上打开命令提示符（cmd），执行 ipconfig，确认电脑是否获取到了正确的 IP 地址、子网掩码和默认网关。如果显示 169.254.x.x，说明 DHCP 分配失败，需检查路由器 DHCP 配置或终端 IP 是否冲突。
• Ping 路由器网关：在电脑上执行 ping 路由器LAN口IP。如果不通，说明局域网物理连接、VLAN 划分或 ARP 解析存在问题；如果通，请继续下一步。
• Ping 公网 IP：在电脑上执行 ping 8.8.8.8。如果 ping 不通，说明问题出在 NAT 转换、安全策略或出接口配置上；如果能 ping 通，说明网络链路正常，问题出在 DNS 解析环节。

2. 排查 NAT 与安全策略（核心排查点）

• 检查 NAT 配置：确认路由器的出接口（WAN口）是否已正确配置了源 NAT（Easy IP 或 NAT 地址池）。如果 NAT 未配置或配置错误，内网终端将无法访问外网。
• 检查安全策略/ACL：确认域间安全策略（如 Trust 到 Untrust）是否允许了该网段的流量通过。过度严格的端口过滤、MAC 过滤或 DoS 防护可能会误拦截合法的网络请求。

3. 排查 DNS 解析问题

• 清除本地缓存：在电脑 cmd 中执行 ipconfig /flushdns，清除可能存在的错误 DNS 缓存。
• 更换公共 DNS：在电脑的网络适配器属性中，手动将 DNS 服务器指定为公共 DNS（如 114.114.114.114 或 223.5.5.5），或者在路由器的 DHCP 服务中统一下发公共 DNS。
• 验证解析：在电脑执行 nslookup www.baidu.com，查看是否能正常返回 IP 地址。

4. 检查 TCP MSS 设置

• 处理方法：尝试在 ICG3000 路由器的出接口下配置 TCP MSS 值为 1360（或 1400），以解决大包被丢弃的问题。

5. 检查电脑本地环境与防火墙

• 浏览器代理设置：检查电脑浏览器或系统是否开启了代理软件，若代理失效会导致断网。
• 关闭本地防火墙测试：临时关闭电脑的 Windows Defender 防火墙或第三方杀毒软件（如奇安信、McAfee等），排除企业级安全软件拦截了 80/443 端口或劫持了 DNS。

ICG3000 设备能 ping 通 DNS、电脑打不开外网完整排障方案
现象拆解核心逻辑
ICG 网关自带诊断工具可 ping 通 DNS（223.5.5.5/114.114.114.114），代表WAN 外网链路、路由、DNS 服务器互通正常；电脑打不开网页，问题集中在：终端 DNS、内网 NAT 转换、安全 / 应用策略拦截、Portal / 认证、会话限制、策略路由异常六大类。
第一步：电脑本地终端快速自检（先区分单台故障还是全网故障）
1. 电脑 CMD 执行 3 条测试命令定位
1）测试域名解析是否正常
plaintext
nslookup www.baidu.com
返回正确公网 IP：DNS 解析正常，故障在 ICG 转发 / 拦截；
报超时 / 找不到服务器：电脑 DNS 配置错误。
2）直接 ping 公网 IP（绕开 DNS）
plaintext
ping 180.101.49.11
IP 能通、域名打不开：纯 DNS 问题；
IP 完全不通：ICG 的 NAT / 安全策略拦截了 TCP 网页流量。
3）清空本地 DNS 缓存
plaintext
ipconfig /flushdns
2. 电脑网络参数修正
自动获取 IP/DNS：确认网关是 ICG 内网口 IP；
手动指定公共 DNS：首选223.5.5.5，备用114.114.114.114；
关闭浏览器代理、VPN、系统第三方防火墙 / 杀毒网络拦截。
第二步：ICG3000 核心配置逐项排查（90% 故障根源）
一、检查内网源 NAT（最常见，无 NAT 内网无法出站）
Web 路径：网络→NAT 策略→源 NAT
必须创建匹配内网网段的出接口 NAT 规则：
源地址：内网网段（如 192.168.1.0/24）
出接口：WAN 外网口
转换方式：出接口地址 / 地址池
校验命令（Console）：
plaintext
display nat session table
无电脑 IP 转换条目 = NAT 规则缺失 / 匹配错误；
有大量会话但网页打不开 = 策略拦截 TCP 80/443。
二、安全域 / 安全策略拦截 HTTP/HTTPS 流量
ICG3000 自带域间防火墙，ICG 默认可能拦截内网到外网 TCP 80、443：
Web：策略→安全策略
新建规则：源安全域 Trust，目的 Untrust，动作允许，服务选择 HTTP、HTTPS、DNS、所有 TCP/UDP；
查看拦截日志：日志→安全日志，搜索deny，确认网页报文被丢弃；
命令查看会话丢弃：
plaintext
display session table drop-record
三、上网行为 / URL 过滤 / 应用管控阻断网页
ICG 是上网行为网关，默认行为策略极易拦截网页：
Web：行为管理→URL 过滤
黑名单模式：会阻断所有网站，临时切换白名单 / 关闭 URL 过滤测试；
HTTPS 审计：未导入根证书会导致 HTTPS 网页打不开，临时关闭 SSL 解密测试；
应用控制：是否禁用「网页浏览、浏览器」应用分类，全部改为允许。
四、用户认证 / Portal 未登录（企业场景高频）
开启 Portal/802.1X/MAC 认证后，电脑未弹出认证页面，流量全部阻断；
测试：ICG 后台手动把电脑 IP 加入免认证白名单，看能否上网；
临时关闭 Portal 认证验证业务恢复。
五、策略路由冲突（你标签提到策略路由）
若配置多出口 PBR 分流，检查：
策略路由是否绑定内网接口；
下一跳 / 出接口填写错误，导致网页流量转发黑洞；
策略路由只放行 ICMP（ping DNS），未放行 TCP 网页流量；
临时删除策略路由，只用默认路由测试。
六、连接数 / 会话限制、防攻击限流
Web：安全→防攻击，检查「单 IP 最大连接数、TCP 连接限制」是否过小；
内网终端多、网页 TCP 会话被限制，只能 ping 通少量 DNS 报文；
关闭 SYN 泛洪、TCP 限速等功能临时测试。
七、DHCP 下发 DNS 错误
电脑自动获取的 DNS 不是公共 DNS，而是错误内网地址：
Web：网络→DHCP 地址池，DNS 服务器填写223.5.5.5；
不要把 DNS 填成运营商内网 DNS（易劫持解析失败）。
第三步：ICG 诊断命令快速定位（Console/Telnet）
plaintext
# 1. 查看内网到外网会话，有无电脑网页流量
display session table ipv4 source 192.168.1.X
# 2. 查看NAT转换是否生效
display nat outbound
# 3. 查看策略路由匹配计数
display policy-based-route statistics
# 4. 查看报文丢弃日志
display session table drop-record
# 5. 查看安全策略命中情况
display security-policy statistics
第四步：极简快速验证流程（按顺序操作，快速定位）
单台电脑手动设置静态 IP + 公共 DNS，测试访问百度 IP 180.101.49.11
IP 不通 → ICG NAT / 安全策略拦截；
IP 通、域名不通 → 终端 DNS/DHCP 下发 DNS 错误。
ICG 后台临时关闭：URL 过滤、行为管控、Portal 认证、防攻击限流，重新测试网页。
临时删除策略路由，仅保留默认 WAN 路由。
核对源 NAT 规则完整匹配全部内网网段。
放行 Trust→Untrust 全部 TCP/UDP 安全策略。
典型故障案例总结
能 ping DNS 但打不开网页（全网）：缺少内网源 NAT、URL 过滤黑名单模式、域间策略拦截 80/443；
仅部分电脑打不开：DHCP 下发 DNS 错误、单 IP 连接数限制、终端代理 / 防火墙；
配置策略路由后故障：PBR 仅放行 ICMP，未转发 TCP 网页流量；
企业办公环境：Portal/802.1X 认证未登录，网页全阻断，仅 ICG 网关自身能 ping 外网 DNS。