一台刚装好的无法外网CentOS 7机器，ping 114.114.114.114 返回“Network is 连接unreachable”，这基本就是无法外网网络没配通。别急着怀疑网卡坏了，连接十有八九是无法外网配置问题。

我上周帮同事处理过一台，连接他装完系统插着网线，无法外网桌面右上角显示“已连接”，连接但浏览器打不开任何网页。无法外网我上去敲了 ip addr，连接发现 ens33 只有 IPv6 地址，无法外网IPv4 那一栏是连接空的。CentOS 7 默认安装时，无法外网如果没在安装界面手动开启网络，连接装完后网卡配置文件里 ONBOOT 就是无法外网 no。系统启动时不激活这块网卡，自然没有 IPv4 地址。

改法很直接。编辑 /etc/sysconfig/network-scripts/ifcfg-ens33，把 ONBOOT=no 改成 ONBOOT=yes，然后 systemctl restart network。注意网卡名不一定是 ens33，用 ip addr 看实际名字。有人习惯用 nmcli con up ens33，也行，但前提是 NetworkManager 在跑。CentOS 7 最小化安装默认不带 NetworkManager，只有 network 服务。

如果 ONBOOT 已经是 yes，IP 也拿到了，但还是出不去，那就查网关和 DNS。我见过一个案例，虚拟机里 DHCP 分配了 192.168.1.100/24，但网关是空的。ip route 显示只有一条直连路由，没有 default via。这种情况要么手动在 ifcfg 文件里加 GATEWAY=192.168.1.1，要么检查 DHCP 服务端为什么没下发网关。DNS 的问题更隐蔽——能 ping 通 8.8.8.8 但 ping 不通 www.baidu.com，那就是 /etc/resolv.conf 里没写 nameserver。临时加一行 nameserver 114.114.114.114 就能验证。永久生效得改 ifcfg 里的 DNS1=114.114.114.114，否则重启后 resolv.conf 会被覆盖。

防火墙和 SELinux 一般不会导致“完全无法连接外网”。firewalld 默认只拦入站，出站流量不挡。SELinux 管的是进程访问文件的权限，跟网络连通性关系不大。但有一种情况例外：如果你之前手动改过 iptables 规则，或者装了某些安全加固脚本，可能把 OUTPUT 链默认策略改成了 DROP。用 iptables -L -n 看一眼，OUTPUT 那行如果是 DROP，那确实出不去。

虚拟机用户还要注意网络模式。NAT 模式下，宿主机能上网，虚拟机一般也能上，但前提是 VMware 或 VirtualBox 的虚拟网卡没被禁用。我遇到过 Windows 宿主机上 VMware 的 VMnet8 被安全软件禁用了，虚拟机里看着一切正常，就是出不去。桥接模式则要求宿主机所在的局域网有 DHCP 或者你手动配了同网段的静态 IP。静态 IP 配错子网掩码也是常见坑——比如该是 255.255.255.0 写成了 255.255.0.0，网关就不在同一个子网里了。

排查顺序可以这样走：ip addr 看有没有 IP，ip route 看有没有默认网关，ping 网关 看二层通不通，ping 114.114.114.114 看三层通不通，ping www.baidu.com 看 DNS 通不通。每一步卡住的地方就是问题所在。别一上来就重装系统，CentOS 7 的网络配置虽然有点老派，但搞清楚 ifcfg 文件里那几个参数，大部分问题五分钟就能解决。