同 VPC 服务走公网域名互调，DNS 轮询到部分 ALB IP 就ETIMEDOUT。根因是 NAT 出口被 WAF Geo Block 当成境外流量。本文给出决策树、只读盘点、白名单合并写法和回滚。目录前言一、先做决策：网络还是 WAF二、问题现象三、定位过程四、根因五、解决方案六、反序失败与回滚