子网网关不可达的根本原因在于IP与网关未处于同一逻辑子网，需通过“IP&掩码=网关&掩码”验证网络号是否一致；若一致，则排查ARP解析、物理链路、交换机隔离及网关自身状态。
子网网关不可达，表面看是“ping不通路由器”，但真正原因往往藏在底层链路或配置逻辑中。排查不能只盯着“网关IP是否能通”，而要一层层验证设备是否真的属于同一子网、能否完成二层寻址、物理连接是否可靠。
确认IP与网关是否真属同一子网
这是最常被跳过的一步。很多人看到IP是192.168.1.100、网关是192.168.1.1，就默认“肯定同网段”，却忽略了子网掩码可能不是255.255.255.0。
- 用“与运算”验证：将IP和网关分别和子网掩码做按位与，结果必须完全一致。例如：
IP 192.168.1.100 & 255.255.255.0 = 192.168.1.0
网关 192.168.1.1 & 255.255.255.0 = 192.168.1.0 → 合法
但如果掩码是255.255.252.0（/22），则两者网络号都为192.168.0.0，也合法；可若掩码是255.255.0.0，而网关设成192.168.2.1，结果就不等了。 - 命令速查：
Windows：运行 ipconfig /all，重点看“子网掩码”和“默认网关”两行
Linux：运行 ip addr show 和 ip route | grep default
检查ARP是否能解析出网关MAC
即使IP和掩码正确，如果设备无法获知网关的物理地址（MAC），所有发往网关的数据包都会卡在二层，根本发不出去。
- 在客户端执行 arp -a | grep [网关IP]（Windows/Linux通用）
若无输出，或显示 incomplete，说明ARP请求没收到应答。 - 可能原因包括：
— 网关设备本身未启用ARP响应（极少见，多见于特殊安全策略）
— 客户端与网关之间存在二层隔离（如交换机端口启用了端口安全、DHCP Snooping未放行ARP、或VLAN不匹配）
— 网关接口关闭、IP未生效，或绑定在错误接口上
验证物理与数据链路层连通性
网关不可达，有时根本不是IP层问题，而是线没插牢、端口down了、或者交换机把流量丢弃了。
- 观察网口指示灯：绿色常亮表示链路建立，闪烁表示有收发；若熄灭，先换线、换端口、重启网卡
- 确认网卡驱动和状态：
Windows：设备管理器中查看网卡有无黄色感叹号；运行 netsh interface show interface 看状态是否为“已连接”
Linux：运行 ip link show，确保对应接口为 UP 状态，且无 NO-CARRIER - 尝试直连网关（绕过中间交换机）：用一根网线将电脑直连路由器LAN口，再测试ping。若此时通了，问题一定出在中间交换设备或布线上
排除网关自身异常
网关设备本身可能处于异常状态，导致它“在线但失能”。
- 登录网关管理界面（如192.168.1.1），确认：
— LAN口IP配置与客户端所配网段一致
— DHCP服务未误关闭（若客户端靠DHCP获取地址）
— 没有开启“AP隔离”“客户端隔离”或“禁止ICMP响应”等限制功能 - 在网关上执行 show arp（Cisco）或查看ARP表（家用路由器后台），确认客户端IP已学习到对应MAC；若没有，说明客户端发的ARP请求根本没到达网关
- 检查网关CPU或内存占用是否过高（可通过Web界面或SSH执行 top / show processes cpu），过载时可能丢弃ICMP或ARP报文
