通过Murus静态NAT+pf共享网络/IKEv2 VPN，无法访问谷歌HTTPS站点

嘿，咱们来拆解下为啥你的Google HTTPS站点打不开，但其他HTTPS站点正常，一步步解决这个问题：

核心问题根源 #

你提到客户端和网关ping google.com得到不同IP，这就是关键——DNS解析不一致导致了HTTPS握手失败。Ping用的是ICMP协议，只要路由通就能响应，但HTTPS不一样：它需要客户端发起请求的IP和服务器返回的证书绑定IP完全匹配，同时网关的NAT转发路径也要对应。当客户端和网关解析出的Google IP不同时，就会出现“能ping通但网页加载失败”的情况。

具体排查与解决步骤 #

1. 统一客户端和网关的DNS源 #

既然你不想让pf转发DNS请求，那最直接的办法是让客户端和网关用一模一样的DNS服务器：

• 先查网关当前用的DNS：打开终端，执行 scutil --dns | grep "nameserver"，把输出的DNS地址记下来
• 登录你的路由器，把DNS服务器改成刚才记下的那组（如果是共享VPN的话，大概率是VPN提供商分配的DNS）
• 重启客户端的网络连接，确保它获取到新的DNS设置

2. 检查Murus的NAT规则是否限制了HTTPS流量 #

虽然你说共享正常，但还是要确认静态NAT规则没针对443端口做特殊限制：

• 打开Murus，进入NAT规则界面
• 确保有一条允许192.168.2.0/24网段到任意地址的443端口转发规则，而且这条规则的优先级要高于其他限制类规则
• 可以临时禁用其他非必要的NAT规则，测试google.com是否能正常加载

3. 排查VPN场景下的DNS泄漏（如果是共享VPN时出问题） #

要是共享VPN连接时才出现这个问题，可能是DNS泄漏导致网关和客户端解析不一致：

• 在网关的终端执行 curl -s https://dnsleaktest.com/test | grep "Your IP"，看看网关解析对应的IP
• 在客户端执行同样的命令，对比两者的IP是否一致
• 如果不一致，说明VPN的DNS没正确覆盖网关的DNS，你需要在Murus里强制网关自身的DNS请求走VPN线路（哪怕不转发客户端DNS，也要保证网关自己用的是VPN的DNS）

4. 验证TCP 443端口的连通性 #

Ping是ICMP协议，HTTPS用的是TCP，可能存在443端口的连通性问题：

• 在客户端执行 telnet google.com 443，如果看到Connected说明端口通；如果不通，检查网关的防火墙是否拦截了出站443流量
• 在网关执行 tcpdump -i en4 host google.com and port 443，然后在客户端访问google.com，看看有没有TCP握手的数据包被转发

临时应急方案 #

如果暂时没法统一DNS，可以在客户端的hosts文件里手动绑定网关解析到的Google IP：

• 在网关执行 nslookup google.com，记下输出的IP地址
• 在客户端编辑/etc/hosts文件，添加一行：[网关解析的IP] google.com
• 刷新客户端的DNS缓存：
  • macOS：执行 sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
  • Windows：执行 ipconfig /flushdns

内容的提问来源于stack exchange，提问作者Walrus the Cat