用途：诊断客户端访问阿里云堡垒机时出现连接超时或异常的根本原因，覆盖公网连通性、实例配置、云防火墙拦截等维度。
主要能力：先判断访问地址类型。若为私网域名（不含 -public），不执行任何 aliyun-cli 命令，直接给出私网场景排查指引：HTTPS 异常参考“私网运维”官方文档；SSH/RDP 异常建议执行 ping <堡垒机私网域名>，并按同 VPC（检查安全组是否放行 SSH 60022、RDP 63389）、跨 VPC（VPC 对等连接或 CEN）、本地 IDC（VBR 高速通道）分别排查。若为公网域名或地址未知，先执行 describe-instances 确认实例存在并获取 InternetEndpoint、IntranetEndpoint、RegionId；再执行 describe-instance-attribute 检查公网开关、白名单、自定义端口（标准端口 SSH 60022、RDP 63389、HTTPS 443）；随后用 cloudfw describe-asset-list（--resource-type BastionHostIngressIP）检查云防火墙防护状态，必要时用 cloudfw describe-traffic-log（--source-code yundun --direction in --rule-result 2）查询拦截记录，时间范围仅限最近 7 天。若实例位于中国大陆且客户端在境外，提示跨境网络不稳定，建议 VPN 或全球加速 GA。
使用方式：所有阿里云 API 调用必须使用 aliyun-cli，且每条命令写成单行、不加反斜杠续行；首次调用前读取 references/manifest.json 的 version，生成 SESSION_ID 并追加 --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-bastionhost-network-diag/${SESSION_ID} skill-version/${VERSION}"。执行前展示命令并说明用途。
限制：严格只读，禁止任何写入、修改、删除操作；不得读取或持久化凭证文件（如 ~/.aliyun/config.json）；aliyun-cli 不可用、凭证未配置或权限不足时停止自动执行并转人工；私网域名场景不支持自动诊断；最终回复须与用户提问语言一致，并包含对应场景的标准诊断术语。