服务器拦了你的网页流量

周五晚上十一点，我关掉游戏准备睡觉，顺手把电脑休眠了。这一睡就是三个月。再开机时，屏幕亮起，系统流畅如初，我习惯性打开浏览器想查个攻略，网页却转着圈圈，最后弹出“无法访问此网站”。我以为是网络抽风，随手点开QQ，好友头像全亮，消息收发正常。又试了YY，语音频道里人声鼎沸，甚至能听到隔壁老哥敲键盘的清脆声。怪事，社交软件一切正常，偏偏网页打不开，游戏更新也卡在0%。

我重启了路由器，把电脑网卡禁用再启用，甚至拔了网线重插，没用。我打开命令提示符，ping了一下百度，延迟30毫秒，四个包全部接收。再ping腾讯的服务器，也是通的。既然网络层通着，为什么浏览器就是打不开网页？我瞥了一眼右下角的网络图标，连接正常，没有黄色感叹号，但DNS那一栏是空的——不对，系统默认是自动获取，应该是路由器分配。

问题可能出在DNS上。我手动设置成114.114.114.114，再刷新网页，还是打不开。又换成8.8.8.8，依然不行。域名解析不了，但QQ没受影响，因为QQ和YY的服务器域名是内置的，而且它们主要走UDP协议，调用的服务器IP多半是固定的，比如腾讯的IM服务器地址是几十个固定的IP段，根本没走域名解析那一套。网页则完全不同，浏览器输入网址后，第一件事就是向DNS服务器发请求，请求解析出对应的IP，这一步卡死，后面全断。

于是我抓包看了一眼，用Wireshark监听HTTP请求，发现浏览器发出的DNS查询包确实出去了，但没回来。路由器是TP-LINK的旧型号，用了四年，里面设置也没动过。我怀疑是运营商屏蔽了UDP 53端口。但我的手机连同一个Wi-Fi，却是能正常开网页的。那问题就出在电脑本身，不是网络环境。

我打开服务列表，检查DNS Client服务，显示正在运行。又检查了Windows防火墙，发现我三个月前装过一个加速器，它给系统加了一条高级防火墙规则，禁止所有入站的TCP 80和443端口连接。这就是问题核心了。网页走HTTP和HTTPS，正是80和443端口，而QQ和YY的通讯走的是UDP 8000和4000端口，不在拦截范围内。游戏更新用的端口可能被加速器改过，走了UDP，所以没受影响。那条规则是一个“黑洞”，把所有试图进入这台电脑的网页流量挡在门外，而对外发出的请求正常，因为QQ和YY只需要发数据包就行，不需要一直保持入站连接。

我删掉那条规则，刷新网页，百度首页瞬间出来了。我又试了游戏更新，进度条开始快速跳动。

其实还能更早发现，当时在设备管理器里检查网卡属性时，会看到一个“虚拟加速器适配器”，那就是罪魁祸首留下的痕迹。旧软件卸载不干净，驱动层残留在网络栈里，这比防火墙规则更隐蔽。不过这次好在只是规则拦截，重新装好系统就恢复了。

现在想想，网络连接像是两种不同的交通方式。QQ和YY走的是专用公路，路牌固定，不允许其他车辆进入。网页走的是公共高速公路，入口需要一个叫DNS的门卫认路，出口要有80和443这两个收费站放行。只要其中一个环节被误设置了禁行标志，整个流程就卡住。而这类故障最常见的诱因，就是安全软件或游戏加速器在系统重启后恢复了某条旧规则。

弄明白这件事用了四十分钟，但真正定位到那条防火墙规则只花了三分钟。要是早知道检查Windows防火墙的高级入站规则，我就能少折腾半天。希望看到这篇文章的你，下次遇到类似情况，能想起这个被拦截的入口。