客户端显示“请求超时”时，失败可能发生在 DNS、路由、传输、TLS、代理或后端。完整解释不是把协议名按顺序罗列，而是为同一次请求建立可关联的事件链，并指出证据在哪一段中断。

第 21–24 篇覆盖 DNS、HTTP 与 TLS，第 31、32 篇覆盖转换和代理，第 36 篇给出故障证明方法。本篇用一个封闭的静态服务链注入四类故障，记录定位与恢复条件。

正常请求需要跨越六个边界

样例请求 https://api.lab.test/items 先从专用解析记录得到 192.0.2.20，路由把报文送往测试代理，TCP 建立连接，TLS 校验证书中的 api.lab.test，代理选择 backend-a:8080，后端返回 HTTP 200。

每个阶段只证明自己的完成条件。DNS 答复不证明地址可达；TCP 建连不证明服务身份；TLS 成功不证明 HTTP 一定成功；代理收到 200 也不能证明所有副本健康。请求 ID 可以关联应用日志，但不会自动出现在 DNS 或 TCP 包中，跨层对齐还要依靠地址、端口、时间窗口和加密终止点。

模式提炼：按最后一个成功事件收窄范围

最后成功阶段 < 故障位置 ≤ 第一个缺失或失败阶段

这个区间只有观察点覆盖完整时才可靠。若中间没有抓包、指标或日志，结论必须保留为区间，不能填入一个想当然的组件名。

DNS 错误会把后续阶段全部截断

注入 NXDOMAIN 后，客户端获得带错误语义的 DNS 响应，没有目标地址，也不应出现针对代理的连接尝试。恢复条件是专用权威记录恢复并由测试解析器得到预期地址；仅清理某台客户端缓存，不能证明权威数据正确。

若现象是 DNS 超时，则不能写成名字不存在。RFC 1035 定义了响应码语义，超时只说明在期限内没有取得可用响应。

丢包与 PMTU 黑洞有不同形状

连接阶段丢弃 SYN 时，预期证据是客户端重传且没有 SYN-ACK，TLS 不会开始。恢复后应看到握手完成。单端记录仍不能区分请求途中丢弃和回包途中丢弃，真实实验需要双端抓包。

PMTU 黑洞更隐蔽：小控制报文可能通过，较大的 TLS 或 HTTP 数据在路径上因超过 MTU 被丢弃，所需的 ICMP “需要分片”反馈又没有到达源端。RFC 2923 描述了这种 TCP Path MTU Discovery 失败。恢复可以降低测试端 MSS/负载或放通必要 ICMP，但必须确认改变的是专用实验路径。

静态案例把小于等于 1200 字节的报文设为可达，把 1400 字节报文设为丢弃。它只复现“按大小分化”的逻辑，不是内核 PMTUD 实验。

慢后端出现在握手之后

慢后端案例中，DNS、TCP 和 TLS 都成功，代理也记录已经转发请求；首字节等待集中在 upstream 阶段。恢复条件是移除注入的后端延迟，并让同一固定请求回到基线阈值内。

代理的上游耗时只是一个观察点。它可能包含连接池等待、重试、后端排队和处理时间。没有更细的代理与后端记录时，不能直接归因为数据库或业务代码。

故障矩阵的静态验证

chain_model.py 读取正常路径和四个注入案例，检查每个案例的最后成功阶段、失败阶段、被排除解释与恢复判据。

1
2
python3 source/_posts/2026-09-24-计算机网络38-一次HTTPS请求的完整解释/chain_model.py --help
python3 source/_posts/2026-09-24-计算机网络38-一次HTTPS请求的完整解释/chain_model.py

素材包括服务链与故障矩阵、静态注入脚本、定位与恢复结果、资料与运行记录和审阅记录。

条件、限制和反例

恢复一次不等于根因已证明。若修复同时改变 DNS 缓存、路由和进程状态，就无法知道哪个变量起作用。对照实验应只改变一个条件，并重复基线、故障和恢复三个阶段。

HTTP 200 是该次应用响应，不证明报文未重传、证书即将到期问题不存在或其他后端正常。构建页面成功更不涉及服务链运行。

加密会限制中间观察点能看到的内容。TLS 终止在代理时，代理前后是两段不同连接；客户端抓包不能证明代理到后端使用了什么协议。

练习

练习一：小响应成功、大响应停住。写出 PMTU 黑洞、应用分块错误和后端慢三项假设各自的正证据与反证。

练习二：设计一次只改变 DNS 记录的实验，依次运行基线、故障和恢复阶段，列出需要固定的 TLS 主机名、代理配置、后端版本和缓存条件。

模式速查表

注入 最后成功阶段 恢复判据
DNS 错误 DNS 请求发出 解析回预期专用地址
SYN 丢失 DNS 返回地址 双端确认连接握手恢复
PMTU 黑洞 小报文传输 大报文在相同路径完成
慢后端 TLS 与代理转发 固定请求的上游等待回到基线

官方一手参考资料

验证边界

已验证：Python 3 标准库对封闭服务链的四类合成故障执行静态注入、定位和恢复条件检查，验证类型为 STATIC。

NOT_RUN：当前环境未建立真实 DNS、路由、TLS 代理和后端链路，未注入内核丢包或 MTU 黑洞，未双端抓包，也未测量端到端恢复。补证必须在自建命名空间、专用虚拟机或本地服务中进行，不修改宿主默认路由，不访问生产系统。