网页打不开但能 ping 通，很可能是 Windows NAT 转换异常；需排查 ICS 或 Hyper-V NAT 配置、地址转换是否发生、回程流量是否被防火墙或路由阻断，并针对 WSL2/Docker 检查 DNS 和 WinNAT 日志。
网页打不开但网络连通性正常（如能 ping 通目标 ip），很可能是 nat 转换环节出了问题。windows 系统本身不直接提供传统路由器级的 nat 功能，但在以下典型场景中会涉及 nat 行为：启用“internet 连接共享（ics）”、使用 hyper-v 虚拟交换机（nat 模式）、运行 wsl2（默认通过 windows 主机 nat 访问外网）、或部署了第三方 nat 工具（如 winnat、端口映射软件）。排查需聚焦在地址转换是否发生、转换规则是否匹配、返回流量能否正确回流。
检查 ICS 或 Hyper-V NAT 虚拟交换机是否启用并配置正确
ICS 和 Hyper-V NAT 是 Windows 原生最常引发 NAT 相关访问异常的两个服务。先确认是否启用：
- ICS：打开“网络连接”，右键外网适配器 → “属性” → “共享”选项卡，查看是否勾选“允许其他网络用户通过此计算机的 Internet 连接来连接”，并指定内网网卡；若启用，注意其自动分配的内网网段（默认 192.168.137.0/24）和 DNS 设置（通常指向本机 192.168.137.1）
- Hyper-V NAT：以管理员身份运行 PowerShell，执行 Get-NetNat 查看是否存在 NAT 配置；再用 Get-NetNatStaticMapping 检查是否有端口映射规则；常见问题包括 NAT 名称拼写错误、内部 IP 不属于虚拟子网、外部端口被占用等
验证 NAT 地址转换是否实际发生
仅靠“能上网”不能说明 NAT 正常——需确认出向流量是否被重写，以及回包能否正确还原。推荐方法：
- 在开启 NAT 的主机上，用 netsh interface portproxy show all 查看端口代理（适用于部分手动配置场景）
- 使用 Wireshark 抓包：在内网侧网卡抓包，确认发出请求时源 IP 是否已被替换为 NAT 接口 IP；在外网侧网卡抓包，确认目的 IP 是否为真实目标地址、源 IP 是否为本机公网/共享 IP；重点比对 TCP 三次握手 SYN 包的源 IP 和 ACK 包的目的 IP 是否一致
- 对 WSL2：在 Windows 主机执行 ipconfig，找到 vEthernet (WSL) 的 IPv4 地址（如 172.x.x.1），这是 WSL2 的网关；在 WSL2 中执行 cat /etc/resolv.conf，确认 nameserver 指向该地址；若 DNS 解析失败，大概率是 NAT DNS 转发未生效
检查防火墙与回程路由是否阻断响应流量
NAT 成功转换出向包，但返回包被丢弃，是高频故障点。Windows 防火墙默认会放行“已建立连接”的回包，但某些策略可能干扰：
- 确认“核心网络”防火墙规则未被禁用：运行 netsh advfirewall show allprofiles，确保 Domain/Private/Public Profile 的状态均为“ON”
- 临时关闭防火墙测试（仅限排查）：netsh advfirewall set allprofiles state off；若此时网页可打开，说明某条入站规则（尤其是 ICMP 或特定端口）误拦截了回包
- 检查路由表是否冲突：route print，确认没有静态路由将目标网络指向错误接口；特别留意 ICS 启用后自动添加的 0.0.0.0/0 路由是否覆盖了原有默认网关
针对 WSL2 和 Docker Desktop 的特殊处理
这两类环境依赖 Windows 内置的 NAT 服务（hns.exe + winnat.dll），故障表现常为“能 ping 通 IP，但 curl https://xxx 失败”或“HTTPS 握手超时”：
- 重启 WSL2 网络栈：wsl --shutdown，再重新启动发行版；或执行 netsh winsock reset 后重启
- Docker Desktop 用户：进入 Settings → Resources → Network，确认“Use the WSL2 based engine”已启用，并尝试切换“DNS Server”为 8.8.8.8 或留空让系统自动继承
- 检查 Windows 事件查看器 → 应用和服务日志 → Microsoft → Windows → WinNAT → Operational，筛选错误级别事件，常见报错如“Failed to create NAT instance”或“Address conflict detected”
