区分无头 Pi 的启动失败与网络故障

卡还没取出来，就已经有人在问这四件事里究竟是哪一件失败了。Pi 在 VPN 或网络变更之后不再响应，重刷似乎成了唯一剩下的动作。但很少真是这样：租约可能变了，sshd 可能停了，回包也可能从一条你跟不到的路径出去，而这几种各有各的修法。真正有用的工作，是把你观察到的和你以为的分开。

四种结果，不是一种

启动、拿到地址、正在监听、可以连通是四种独立结果，其中任何一项失败时，其余三项仍可能成立。板子可以完美启动却从不出现在网络上；可以以没人预料到的地址出现；也可以地址正确但 SSH 是关的；还可以前三项都对，却因为回包从错误的网关出去而始终连不上。

重刷的冲动把这四件事压成一个问题，所以它经常只换来一块能用的 Pi，却说不清到底是哪里坏了。

证据到底在哪里结束

动手之前先写下三件事：最后一次可用的地址与上行链路、改过什么、第一个开始失败的操作。主机名不再解析、SSH 连接超时、TCP 连接被拒，是三种指向不同层次的观察。失败的 ping 只测一个地址的可达性，上面每一种原因都会让它失败，包括板子根本没启动。所以它代替不了启动测试。

如果有本地显示或恢复控制台，就用它，因为它回答的是机器有没有进入操作系统。而这正是重刷唯一能解决的问题。如果板子在进入系统之前就失败，请按平台的恢复文档操作，不要从一张缺失的截图推断硬件损坏，也别再把断电当诊断手段。

在运行中的系统上重建访问路径

通过掌管网络配置的那一方找到当前的上行链路和地址，再与路由器当前的客户端列表、SSH 客户端实际使用的地址对照。保存下来的主机名或过期的 DHCP 租约，可能连续几周都指向昨天的目标。然后确认 sshd 已启用、监听的地址确实存在、并且管理网段被允许访问。Raspberry Pi 的 SSH 指南把启用服务和连接到当前地址当作两个独立步骤，而全新安装的 Raspberry Pi OS 默认关闭 SSH。

主机名可以被重新指向另一台机器，替换镜像也自带新密钥，所以别点掉警告，而要通过你本来就信任的路径核对指纹。删掉警告，正是临时改地址变成永久信任问题的过程。如果只有密钥提示这一个症状，你在处理的是身份问题，而不是可达性问题。

先追查回程路由，再怪板子

VPN 可以在物理链路仍然连着的情况下改变选路，这正是 Pi 开着、在监听却依旧连不上的情形。请求进来了，回包却从管理员客户端过不去的隧道出去。本地控制台和监听中的套接字都不能证明回程没问题，所以要确认回包走哪个接口、选哪个网关。再和管理员实际所在的网络对比；这种故障被误判为板子坏掉的次数，比其他任何故障都多。

最省事的检查是看回包怎么出去：在 Pi 上查管理员地址会走哪条路由，再和请求进来的接口对照。那里的不一致能解释整个症状，成本只有一条命令。

一次只动一处边界，以及什么时候该重刷

在保留当前状态之后，通过配置的归属方去修正。换掉网络管理器、清空防火墙、猜一个静态地址，这三个改动会让下一次观察失去意义。如果证据指向 VPN 的路由或过滤，就回到该客户端自己的停止或修复流程，在既定的恢复计划内操作；受控对比和直接关掉一台你还没解释清楚的机器上的防护是两回事。

重刷是一次有意识的恢复选择，要等你弄清了数据、身份和失败阶段之后再决定。它不该在登录不上时被默认触发。

把配置记录放在没有 Pi 也能读到的地方，并保留一条不经过你即将改动的隧道的回访路径。然后按顺序来：从本地控制台确认阶段，找到当前地址，检查监听方及其策略，追查回程路由，一次只改一处。如果板子从未进入操作系统，下一步是恢复文档，而不是网络。